唯一可靠解法是用attachShadow({ mode: 'open' })创建Shadow DOM隔离上下文，将第三方HTML、CSS、JS全部注入shadowRoot内，禁止直接插入<head>或使用innerHTML赋值，避免全局污染与执行失控。
第三方小部件代码不该直接塞进 <head>
直接把小部件的 <script> 或 <link rel="stylesheet"> 插入 <head>，等于把它扔进全局作用域——样式会覆盖宿主页面的 button、h1，脚本会污染 window，还拖慢首屏渲染。这不是“引入”，是“投毒”。
用 attachShadow 创建独立执行上下文
小部件真正需要的不是“加载”，而是“隔离”。attachShadow({ mode: 'open' }) 是唯一能同时隔离 DOM、CSS、JS 作用域的原生机制：
-
<style>和<link rel="stylesheet">必须 append 到 shadowRoot，不能进 document.head -
<script>标签必须手动提取内容，新建script元素后 append 到 shadowRoot，否则执行在全局上下文，查不到 shadow 内的元素 - Foundation、Quill 等初始化代码必须传入
shadowRoot作为查找容器，例如new Foundation(shadowRoot)，而不是默认的document - 禁止用
innerHTML = htmlString直接赋值给 shadowRoot——它会丢弃所有<script>和<style>，且不触发执行
为什么不用 <iframe> 隔离
<iframe> 看似简单，但实际带来三重失控：
- 跨域时完全无法访问内部 DOM，
contentDocument报错；同源时也得绕一层，iframe.contentWindow.document.querySelector比shadowRoot.querySelector多写一倍代码 - 默认无 sandbox 有点击劫持风险，加了
sandbox="allow-scripts"又可能被 CSP 拦截，尤其当小部件依赖eval或内联事件 - 滚动穿透、焦点丢失、移动端缩放偏移等问题在 CMS 编辑器或嵌套 CSS 容器里高频出现，修起来比 Shadow DOM 多花三倍时间
初始化时机和 CSP 兼容性要点
小部件 JS 初始化失败，90% 是因为时机和上下文错位：
立即学习“前端免费学习笔记（深入）”；
- 不要等
DOMContentLoaded或$(document).ready()——shadow 内容挂载后这些事件早已触发完毕 - 推荐用
requestIdleCallback(() => { /* 初始化 */ }, { timeout: 3000 })或简单setTimeout(() => { /* 初始化 */ }, 0) - CSP 限制下，避免
eval()或内联onclick；改用addEventListener绑定到shadowRoot下的元素 - 若小部件含
import('./vendor.js')，确保其路径相对于当前页面，而非 shadow root 路径——模块解析仍走 document.baseURI
真正难的不是写几行 attachShadow，而是把第三方 HTML 字符串拆成 <template>、遍历节点、分发资源、重写初始化入口——漏掉任意一环，小部件就只渲染出一个空壳。
