纯前端做HTML代码质量扫描不可靠，必须依赖云编译环境；但可轻量级实现——仅上传AST或token化片段而非整份HTML文件。
直接说结论：纯前端做 HTML 代码质量扫描不可靠，必须依赖云编译环境；但可以做到“轻量级”——关键在于只上传 AST 或 token 化片段，而非整份 HTML 文件。
为什么不能只用前端正则或 DOM 解析做质量扫描
常见错误现象：document.querySelectorAll('script[src]') 拿不到动态插入的脚本、innerHTML 会被浏览器自动修正（比如闭合缺失标签），导致实际执行行为与源码不一致。静态分析必须基于原始语法树，而非渲染后 DOM。
- HTML 是容忍型语法，浏览器纠错能力远强于人眼，但纠错逻辑不统一（Safari 和 Chrome 对
<div><p></p></div>的解析结果不同） - 前端无法模拟真实构建流程：
<!--#include file="header.html"-->、ES6 模板字符串拼接、Webpack 的html-webpack-plugin注入等，在纯浏览器里根本没执行 - 安全规则（如 CSP 兼容性、内联事件检测）需要结合上下文路径、HTTP 头、部署环境判断，前端无权限获取
云编译阶段如何提取轻量扫描输入
核心思路：不在云端运行完整 HTML 渲染，而是让构建系统在打包前导出结构化中间产物。
立即学习“前端免费学习笔记（深入）”；
- 使用
htmlparser2或parse5在 Node.js 环境中解析 HTML，输出标准化 AST（JSON 格式），体积通常比源文件小 30%～60% - 对 Vue/React 组件中的模板部分，走框架官方编译器（如
@vue/compiler-dom）提取 template AST，跳过 JSX 编译环节 - 排除非结构性内容：注释、空格、重复属性值，只保留 tag name、attributes、child count、是否自闭合等关键字段
- 上传时加哈希校验头：
X-Content-Hash: sha256:abc123...，避免重复扫描相同内容
云侧扫描服务的关键配置点
不是把 HTML 往 API 一扔就完事，要控制请求粒度和响应语义。
- 接口必须支持
POST /scan/html接收 AST JSON，而非 raw HTML —— 这能规避 XSS 风险，也减少传输带宽 - 返回结果中
severity字段需区分三类等级："error"（阻断构建，如eval()调用）、"warn"（提示优化，如未设置loading="lazy"）、"info"（仅记录，如检测到 WebP 图片） - 必须返回
location坐标：不是行号列号（HTML 没有严格行列概念），而是 AST 中的startIndex和endIndex，方便前端精准定位到源码位置 - 超时设为 800ms，超过即中断并返回已识别问题 —— 避免单个大文件拖慢整个 CI 流水线
本地开发时如何模拟云扫描效果
开发者不需要每次改完都推送到 CI 才能看到结果。
- 用
npx html-validate --config .htmlvalidate.json src/*.html做本地预检，规则集保持与云服务一致（推荐用html-validate而非自研） - VS Code 安装
HTMLHint插件，并配置其规则映射表，把attr-no-unknown映射为云服务返回的unknown-attributecode - 关键陷阱：不要信任浏览器 DevTools 的 Elements 面板显示的 HTML —— 它是渲染后版本；要用 Sources 面板查看原始文件，或右键 → “View page source”
真正轻量的核心，从来不是代码行数少，而是把计算压力放在合适的地方：AST 解析放本地构建环节，规则匹配放云端统一引擎，问题定位回传给编辑器。任何试图在浏览器里跑完整 HTML 静态分析的方案，都会在 iOS Safari 或低配安卓机上卡死，或者漏掉 70% 以上的真实问题。
