必须配DOMPurify，因v-html等不做过滤，恶意script、onerror、javascript:伪协议会立即执行；最小安全配置需显式收紧ALLOWED_TAGS、FORBID_TAGS、ALLOWED_ATTR及ALLOWED_URI_REGEXP，并用hook补rel="noopener noreferrer"。
为什么直接用 v-html 或 dangerouslySetInnerHTML 必须配 DOMPurify
因为它们不做任何过滤，只把字符串原样塞进 DOM —— 恶意 <script>、onerror、javascript: 伪协议都会立刻执行。哪怕前端加了富文本编辑器限制，攻击者也能绕过界面，用 curl / Postman 直接 POST 恶意 HTML 到后端接口。DOMPurify 是唯一被广泛验证能系统性剥离 XSS 载荷的库，不是“可选”，是必须。
DOMPurify.sanitize() 的最小安全配置怎么写
默认配置放行太多（比如 style、class、data- 属性），容易被利用构造 CSS 注入或绕过。实际生产中应显式收紧：
-
ALLOWED_TAGS只列业务真正需要的标签，例如['p','br','strong','em','a','ul','ol','li','code']，删掉div、span等容器型标签 -
FORBID_TAGS显式禁用['script','style','iframe','object','embed','svg']（SVG 需额外处理） -
ALLOWED_ATTR严格限定，如['href','title','target']，不要加class或style，除非你有完整 CSS 白名单 -
ALLOWED_URI_REGEXP必须设为/^(https?|ftp):/i，否则javascript:alert(1)会被放过
链接 target="_blank" 不加 rel="noopener" 会出什么问题
它会让新页面通过 window.opener 访问原页面上下文，恶意站点可调用 window.opener.location = 'https://phishing.site' 劫持你的页面。DOMPurify 默认不自动补 rel，必须手动加 hook：
DOMPurify.addHook('afterSanitizeAttributes', node => {
if (node.tagName === 'A' && node.hasAttribute('target')) {
node.setAttribute('rel', 'noopener noreferrer');
}
});
注意：只设 noopener 不够，noreferrer 还能防止 Referer 泄露；这个 hook 必须在调用 sanitize() 前注册，且不能漏掉条件判断（否则所有 a 标签都会被强制加）。
立即学习“前端免费学习笔记（深入）”；
后端用 DOMPurify 净化时最容易忽略的 jsdom 配置
Node.js 环境下，DOMPurify 依赖 jsdom 提供 DOM 接口，但默认配置不安全：
-
runScripts: 'dangerously'必须显式设置，否则 DOMPurify 内部无法构建 DOM 树，会静默失败或返回空字符串 -
resources: 'usable'要打开，否则<img>等资源解析可能中断净化流程 - 不要用
pretendToBeVisual: false，某些 SVG 清洗逻辑依赖视觉环境判断 - 配置完记得传
dom.window给createDOMPurify()，而不是直接require('dompurify')
最麻烦的是：同一份 HTML，在前端和后端用 DOMPurify 净化结果可能不一致 —— 因为 jsdom 的 DOM 实现和浏览器有细微差异，关键字段（如商品详情、用户评论）建议前后端都走一遍净化，并记录原始输入用于审计。
