importNode 本身不负责安全，仅复制节点；安全性取决于后续操作，如避免 innerHTML、过滤危险标签、用 textContent 替代 HTML 解析，并手动重建可信结构。
importNode 本身不负责“安全”，它只是复制节点；真正的安全性取决于你如何处理导入后的节点——尤其是是否执行内联脚本、是否插入不受信的 HTML 或事件处理器。
理解 importNode 的基本用法
importNode 是 document.importNode() 方法，用于将一个外部文档（如 XML 或另一个 HTML 文档）中的节点“拷贝”到当前文档中。它不会移动原节点，而是创建一个深度克隆（可选浅层），且新节点归属当前文档上下文。
- 第一个参数是源节点（必须来自其他文档）
- 第二个参数为
true表示深克隆（含子节点），false为浅克隆（仅自身） - 导入后节点需手动
appendChild或insertBefore才会显示
从外部 XML 文档导入节点的典型流程
XML 文档不含 HTML 解析逻辑，因此导入 XML 节点时默认是纯结构，不会自动执行脚本或加载资源——这是天然比 HTML 导入更“干净”的一步。但若后续你用 innerHTML 渲染其内容，或手动绑定 onclick 等属性，风险就出现了。
- 用
fetch获取 XML 字符串，再用DOMParser解析为 XML 文档 - 在 XML 文档中用
querySelector或getElementsByTagName找到目标节点 - 调用
document.importNode(xmlNode, true)得到可在当前页面使用的副本 - 检查节点类型（如只接受
Element，拒绝DocumentFragment或注释节点）再插入
防范 XSS 的关键操作
XML 本身不执行 JS，但若你把导入的节点转成字符串再设为 innerHTML，或给它动态设置 onxxx 属性、href="javascript:..."，就会触发执行。
立即学习“Java免费学习笔记（深入）”；
- 避免对导入节点调用
innerHTML = ...—— 改用textContent设置文本内容 - 若需保留部分标签结构，先用
importNode，再用白名单过滤：只保留p、span、em等无害标签，移除script、iframe、onerror类属性 - 不要用
eval、setTimeout("...")或new Function()处理 XML 中的文本内容 - 如果 XML 包含 CDATA 或文本节点，用
textContent读取而非innerHTML
一个安全导入的简明示例
假设你有一个远程 XML 文件 data.xml，内容为：
正确做法是：
- 解析 XML 后取
item元素 - 用
importNode(item, true)导入 - 遍历子节点，对所有文本内容只提取
textContent，忽略标签 - 若需渲染结构，用
document.createElement和appendChild手动重建，不直接插入原始 XML 节点
