HTML页面本身无合规性漏洞，所谓漏洞实为工具对加载行为、响应头、脚本上下文及DOM操作的综合判断；pa11y 9需Node.js 20+/22+/24+，否则启动失败；pa11y-ci批量扫描更稳定可靠；ZAP检测Clickjacking依赖响应头与iframe sandbox配置；90%“HTML漏洞”源于服务端未上下文转义或前端误用用户输入；修复须落实到具体执行路径。
直接上结论：HTML 页面本身没有“合规性漏洞”，所谓扫描结果，全是工具对页面加载行为、响应头、脚本执行上下文和 DOM 操作方式的综合判断。你配错一个 Content-Security-Policy，漏设一个 X-Frame-Options，或让 <script></script> 直接拼接用户输入，工具就会报高危——不是 HTML 语法错了，是你用法越界了。
pa11y 批量扫 WCAG 合规性必须先过 Node 版本关
Pa11y 9 默认要求 node -v ≥20（即 Node.js 20/22/24），否则启动就崩，报 ERR_UNSUPPORTED_ESM_URL_SCHEME 或 Cannot find module 'node:fs'。这不是配置写错了，是底层模块加载机制不兼容。
- 验证方式：终端运行
node -v，输出必须是20.x、22.x或24.x - 若为
18.x或更低：要么升级 Node（推荐用nvm install 20），要么降级 Pa11y：npm install -g pa11y@8（注意：v8 不支持 WCAG 2.1 规则） - 装完务必跑
pa11y --version确认输出有效，而非静默失败
pa11y-ci 扫多页比写 shell 循环靠谱得多
pa11y-ci 是官方批量扫描入口，内置超时控制、重试逻辑、并发限流和统一 JSON/CSV 输出格式，远比手写 for url in $(cat urls.txt); do pa11y $url; done 稳定。
- 最简命令：
pa11y-ci --config pa11y-config.json --urls urls.txt，其中urls.txt每行一个 URL -
pa11y-config.json关键项必须显式声明："standard": "WCAG2AA"（别用默认值）、"timeout": 30000（防 JS 渲染卡死）、"wait": 2000（等 React/Vue 完成挂载） - 慎用
"ignore"：比如["color-contrast"]可临时跳过争议项，但长期忽略等于放弃可访问性底线
ZAP 扫框架嵌入漏洞只看响应头和 iframe 配置
ZAP 不会因为你写了 <iframe src="..."></iframe> 就直接报 Clickjacking，它真正检查的是两件事：服务器是否返回了防御性响应头，以及该 <iframe></iframe> 是否被赋予了过度权限。
将调研报告、方案对比、数据分析、需求梳理、会议纪要、设计说明、代码评审、学习笔记等任务产物输出为可在浏览器直接打开的单文件 HTML，替代 Markdown 作为最终交付物。Markdown 在信息密度、视觉清晰度和可分享性上已跟不上 AI 产物的丰富度，HTML 能同时承载排版、表格、SVG 等。
立即学习“前端免费学习笔记（深入）”；
- 必查响应头：
X-Frame-Options: DENY（全站禁嵌）或Content-Security-Policy: frame-ancestors 'self'（仅同源可嵌） - 若页面含第三方
<iframe></iframe>，必须带sandbox属性，例如：<iframe sandbox="allow-scripts allow-same-origin">，且禁止无限制的sandbox="" - ZAP 主动扫描会模拟外域页面尝试嵌入你的目标页，若成功加载且无上述防护头，就会标记
Missing Anti-Clickjacking Header
HTML 安全扫描报告里 90% 的“漏洞”来自服务端输出控制
所有主流扫描器（ZAP、Nuclei、pa11y）看到的“HTML 漏洞”，几乎都源于服务端未做上下文敏感转义，或前端 JS 错误地把用户输入塞进 DOM。
- 绝对禁止：
innerHTML = location.search、document.write(userInput)、<script>alert(${userInput})</script> - 正确做法：服务端对每个输出点按上下文转义——HTML 文本用
，JS 字符串用 <code>\x3c，URL 参数用encodeURIComponent() -
<meta http-equiv="X-XSS-Protection">已被 Chrome/Firefox/Edge 全面弃用，扫描器见到它反而扣分，删掉
最容易被忽略的点：扫描器从不验证你是否真修复了问题，它只看当前响应是否符合规则。你加了 CSP 头却忘了给内联脚本加 nonce，它照样报错；你清掉了 script 标签，但没处理 onerror=alert(1) 这类事件处理器，它依然标为高危。修复必须落在具体执行路径上，不能只改表面。
