HTML本身无漏洞，真正风险源于前端安全问题、兼容性缺陷或服务端配置疏漏；需通过curl抓原始响应、多网络环境比对、绕过CDN等方式定位污染源，再针对性修复。
HTML网页本身不执行逻辑，所以不存在“HTML漏洞”这种独立类型；真正要分析和修复的，是HTML作为载体所暴露出的前端安全问题、兼容性缺陷或服务端配置疏漏。直接对着HTML文件改标签，90%的情况修不对地方。
怎么确认是HTML源码里真有问题，还是被污染了
很多所谓“HTML漏洞”其实是CDN、代理或中间节点注入的脚本，不是你写的代码出错。先做三件事：
- 用
curl -s https://yoursite.com/ | head -n 100抓原始响应，搜<script、<base、eval(—— 如果这些出现在你源码没写的位置，基本就是分发链路被劫持 - 对比不同网络出口（比如手机热点 vs 公司内网）访问结果，只在部分环境异常，说明是CDN POP点配置漏洞
- 临时绕过CDN（改
/etc/hosts指向源站IP），问题消失就坐实是外部注入
别急着重写模板，先定位污染来源。否则修完HTML，CDN下次缓存一个带 <script src="https://evil.net/x.js"> 的响应，一切归零。
DOM型XSS：innerHTML + 用户输入 = 高危组合
这是最常被忽略、也最容易复现的前端漏洞。只要出现 element.innerHTML = userInput 这类写法，且 userInput 来自URL参数、localStorage 或接口返回，就极可能触发XSS。
立即学习“前端免费学习笔记（深入）”；
- 错误示范：
document.getElementById('msg').innerHTML = new URLSearchParams(location.search).get('msg')，传入?msg=<img src=x onerror=alert(1)>就弹窗 - 正确做法：优先用
textContent替代innerHTML；必须插HTML时，用DOMPurify.sanitize(html)，且启用{SAFE_FOR_TEMPLATES: true}和明确声明ALLOWED_ATTR: ['class', 'data-id'] - 注意陷阱：Vue/React 的
v-html或dangerouslySetInnerHTML不是“安全开关”，只是“免责声明”。它们不自动转义，该净化还得净化
HTTP安全响应头缺失：不是可选项，是上线前必检项
浏览器不会因为你没配就默认帮你加，所有关键安全头都得显式声明。缺任何一个，都等于给攻击者留了后门。
-
Strict-Transport-Security：必须带includeSubDomains，否则子域名可降级到HTTP；max-age至少设为31536000（1年） -
X-Content-Type-Options: nosniff：防止MIME嗅探，尤其对上传功能至关重要；没它，用户上传的.jpg可能被当text/html执行 -
Content-Security-Policy：别一上来就写script-src 'unsafe-inline'；先用Content-Security-Policy-Report-Only收集违规日志，再逐步收紧；default-src 'self'是底线，object-src 'none'必须加 - 验证方式：用
curl -I https://yoursite.com看响应头，或打开浏览器开发者工具的 Network → Response Headers 栏
DOCTYPE和编码问题：表面无关紧要，实际影响渲染和解析
<!DOCTYPE html> 前不能有任何字符——包括BOM、空格、注释。否则IE和旧版Chrome直接进怪异模式，盒模型、line-height、表格对齐全乱，CSS根本救不回来。
- VS Code右下角检查编码是否为
UTF-8 with BOM，如果是，点开 → “Save with Encoding” → 选UTF-8（无BOM） - CI流程中加校验：
grep -q '^<!DOCTYPE html>' index.html || { echo "DOCTYPE missing or misplaced"; exit 1; } - HTML5语义标签如
<section>在IE8及以下不被识别，document.querySelector('section')返回null；若需兼容，必须引入html5shiv，且只能放在<head>里条件注释中，不能用JS动态注册
真正的难点不在知道该配什么，而在于每次上线前，都要确认 CDN 没缓存旧响应、服务器没覆盖掉你新加的响应头、构建产物没把 <!DOCTYPE html> 前面塞进构建时间戳注释——这些细节，才是修复反复失效的根源。
