<noscript> 标签不能用于权限拦截，它仅在 JavaScript 全局禁用时渲染，与 403/401 响应、路由守卫、登录态丢失等权限逻辑完全无关；正确方案是运行时捕获响应码、路由守卫校验权限或 SSR 服务端直出权限相关 HTML。
noscript 标签根本不能用于权限拦截
它完全不感知后端返回的 403、401 或前端路由守卫跳转，也不响应登录态丢失、token 过期、RBAC 权限校验失败等任何权限相关逻辑——noscript 只在浏览器 JavaScript 引擎被全局禁用时才渲染，和权限控制毫无关系。
为什么有人误以为它能做权限兜底
常见混淆场景包括：
- 用户看到白屏，以为是 JS 被禁，实际是权限校验失败后
router.replace('/403')或location.href = '/login'执行了跳转，但没写 fallback 内容 - 在
<div id="app"></div>外写了<noscript><p>请登录</p></noscript>，结果 JS 启用状态下该标签被 Vue/React 渲染逻辑覆盖或移除，而 JS 禁用时又因 CSR 模板为空导致仍白屏 - 把服务端返回的 403 HTML 页面里塞了
<noscript>，误以为它能“提示权限不足”，其实此时 JS 是启用的，标签内容根本不会显示
真正该用什么替代方案
权限拦截必须靠运行时逻辑，不是静态标签：
- 后端返回 403/401 时，前端应捕获 fetch 响应状态码，在组件内 render 专属提示页，例如：
if (response.status === 403) { showPermissionDeniedPage() } - 路由守卫中检查
store.state.user.permissions，缺失关键权限时主动router.push({ name: 'NoAccess' })，而非依赖 HTML 标签 - SSR 场景下，服务端需根据 auth state 直接输出对应权限层级的 HTML（如只渲染「查看」按钮，不输出「删除」按钮），
noscript无法参与这个决策过程 - 若真要降级支持无 JS 场景，得走纯服务端权限控制：每个表单
<form action="/api/users/delete" method="post">提交前，后端校验 session + RBAC，失败则返回 403 HTML 页面（含真实<noscript>内容）
如果硬要在后台系统里放 noscript，只有一种合理位置
它唯一可发挥作用的地方，是 SSR 输出的初始 HTML 中，紧贴关键交互区块之后，且内容必须与权限无关：
立即学习“前端免费学习笔记（深入）”；
- 放在登录表单下方：
<form method="post" action="/login">...</form><noscript><p>本表单支持无 JavaScript 提交</p></noscript> - 放在数据表格容器旁：
<div id="user-table"></div><noscript><p>用户列表已加载完毕（静态 HTML 版）</p></noscript>—— 前提是服务端已把数据直出到 HTML - 绝对不要写
<noscript><p>您没有权限访问此页面</p></noscript>：JS 启用时它不显示，JS 禁用时你连权限校验逻辑都跑不了，根本不知道用户有没有权限
最易被忽略的是：权限逻辑永远发生在 JS 运行时或服务端，而 noscript 是一个编译期静态开关，两者不在同一维度。强行混用只会掩盖真实问题——比如本该在 API 层拦截的请求，却指望一个 HTML 标签兜底。
