HTML代码安全检查需分层定位：先查源码中明文敏感信息（如api_key、注释），再验结构缺陷（如非法嵌套、缺失标签）引发的逻辑漏洞，最后确认渲染行为是否被恶意利用（如innerHTML拼接、事件处理器）。
HTML代码安全检查不是“扫一遍就完事”，而是分层定位：先揪出源码里明写的敏感信息，再查结构缺陷导致的逻辑漏洞，最后验证渲染行为是否被恶意利用。
用浏览器快捷键直接查看原始 HTML 源码
右键网页 → “查看页面源代码”（或 Ctrl+U / Cmd+U）是最快速的第一步。这看到的是服务器返回的原始字符串，不经过 JS 修改，所有注释、隐藏字段、未启用的表单控件都原样暴露。
- 重点搜索：
<!--、password、api_key、debug=、data-secret等关键词 - 注意
<meta name="generator"或<!-- Built with ... -->可能暴露 CMS 或框架版本，对应已知 CVE - 别信“右键禁用”——它只禁用菜单，源码仍可获取；禁用 JS 后再看源码，能排除动态注入干扰
检查 DOM 渲染异常与浏览器自动修正行为
按 F12 打开 DevTools，切到 Elements 面板，观察实际生成的 DOM 树。浏览器会默默修复很多语法错误，但这种“容错”可能掩盖真实风险。
- 灰色斜体标签（如
<div>显示为灰色）＝浏览器自动补全，原始代码漏了闭合，可能造成后续内容错位或 JS 选择器失效 - 某段 HTML 在源码里存在，但在 Elements 中完全找不到 → 被 JS 移除、条件渲染跳过，或因嵌套非法（如
<p><div></div></p>）被浏览器截断丢弃 - 右键节点 → “Break on” → “attribute modifications”，可捕获 JS 动态写入的危险属性（如
innerHTML拼接用户输入）
用 W3C Validator 排查结构型安全隐患
W3C Markup Validation Service 不报 XSS，但它能发现导致 XSS 更易触发的底层结构问题，比如缺失 <html> 或 <head> 导致 meta charset 失效，让 IE 进入怪异模式解析脚本。
立即学习“前端免费学习笔记（深入）”；
- 粘贴完整源码时，必须包含
<!DOCTYPE html>和根级<html>，否则大量误报“document type does not allow element here” - 报错
Element div not allowed as child of element p表示嵌套非法，某些旧版浏览器可能因此错乱解析<script>位置 - 警告
Attribute onclick is obsolete不只是规范问题——它提示你正用内联事件，而这类写法极易拼接不可信数据，应改用addEventListener
用 CSS 选择器快速扫描高危元素
不需要装插件，在控制台执行一行 CSS 就能高亮常见隐患点，适合快速巡检。
-
document.querySelectorAll('a:not([href]), img:not([alt])')→ 找出无跳转能力的链接和缺失替代文本的图片（影响可访问性，也常是信息泄露入口） -
document.querySelectorAll('[style*="display:none"], [class*="hidden"]')→ 定位被 CSS 隐藏但仍在 DOM 中的内容，检查是否含调试数据或未授权字段 -
document.querySelectorAll('input[type="password"]:not([autocomplete="off"])')→ 密码框若开启自动填充，可能被恶意扩展读取
真正难的不是找到工具，而是判断哪条 Warning 暗藏攻击面——比如 Bad value X for attribute Y 看似只是拼写错误，但如果 Y 是 src 或 href，X 是用户可控输入，那它极可能已是反射型 XSS 的温床。
