HTML文件本身不执行逻辑，不会直接导致未授权访问漏洞；但作为前端载体，常暴露后端接口、管理路径、调试信息或配置线索，真正风险在于硬编码的敏感路径、注释、链接、内联脚本及引用的JS/CSS文件泄露。
HTML 文件本身不执行逻辑，不会直接导致未授权访问漏洞；但它是前端载体，常暴露后端接口、管理路径、调试信息或配置线索。真正的问题在于 HTML 中硬编码的资源路径、注释、跳转链接、内联脚本或引用的敏感 JS/CSS 文件——这些内容可能把攻击者引向未设防的端点。
检查 HTML 中泄露的敏感路径和端点
很多开发者会在 HTML 注释、<script> 标签或 href/src 属性里写测试用的后台地址、Swagger 入口、Druid 监控页、Actuator 端点等。一旦上线没清理，就成了“自曝地图”。
- 用浏览器打开页面，右键「查看网页源代码」，全局搜索关键词：
/actuator、/swagger、/doc.html、/druid、/console、/web-console、/jmx-console - 特别注意注释里的临时路径，比如：
<!-- TODO: remove /admin/api/test before prod --> - 检查所有
<a href="...">和<script src="...">，确认目标 URL 是否应对外公开（例如/api/v1/internal或/static/config.js）
抓包验证 HTML 引用的 JS/CSS 是否含敏感信息
HTML 本身静态，但加载的 JS 文件常包含硬编码的 API 地址、Token 占位符、甚至未脱敏的密钥片段。这类泄露常被忽略，却极易被自动化工具批量采集。
- 打开浏览器开发者工具 → Network 标签页 → 刷新页面 → 按
JS或Doc类型筛选，逐个点击查看响应体 - 搜索：
http://或https://开头的内部域名、api-key、secret、password、authToken、baseURL - 重点关注
config.js、env.js、settings.bundle.js这类命名文件，它们大概率是构建时注入的环境变量副本
识别 HTML 中残留的调试/测试功能开关
有些前端工程在开发阶段会埋入隐藏按钮、快捷键触发的调试面板或 mock 接口切换逻辑，上线时未移除。这类功能往往绕过权限校验，直连后端未鉴权接口。
立即学习“前端免费学习笔记（深入）”；
- 搜索 HTML 中是否含：
debug=true、isDev=true、enableMock、showAdminPanel等布尔型属性或内联 script - 检查是否有隐藏 DOM 元素带
id="dev-tools"或class="debug-only"，尝试用 DevTools 取消display:none查看行为 - 监听键盘事件，如
Ctrl+Shift+D、Alt+P等组合键是否触发未文档化面板（常见于 React/Vue 调试插件残留）
真正的风险不在 HTML 语法本身，而在于它成了后端权限缺失、配置错误、上线流程疏漏的“证据链终点”。只要一个 <script src="/js/dev-config.js"> 没删干净，就可能让整个未授权访问排查前功尽弃。
