DOMPurify 本身不支持直接配置移除 实体，因其核心目标是 XSS 防护而非文本清洗；推荐在 sanitize 后使用原生 replaceAll() 或正则预处理，既简洁又可靠。
dompurify 本身不支持直接配置移除 ` ` 实体，因其核心目标是 xss 防护而非文本清洗；推荐在 sanitize 后使用原生 `replaceall()` 或正则预处理，既简洁又可靠。
DOMPurify 是一个专注于安全净化 HTML 字符串以防止 XSS 攻击的库，其配置项（如 FORBID_ATTR、ALLOW_DATA_ATTR）均围绕标签白名单、属性过滤与 DOM 结构校验设计。 （即 Unicode U+00A0）是一个合法的 HTML 实体，不携带执行能力，因此 DOMPurify 默认保留它——这并非缺陷，而是设计使然。
若你希望将 替换为空格或完全删除，不应依赖 DOMPurify 的 sanitizer 配置，而应在净化前后进行独立的字符串处理。以下是两种推荐方案：
✅ 方案一：净化后统一替换（推荐）
先用 DOMPurify 安全清理潜在危险内容，再对结果调用 replaceAll() 清理 ：
import DOMPurify from 'dompurify';
const content = '<p style="color:blue">Hello<span> </span>world</p>';
// 第一步：安全净化（保留合法样式与结构）
const cleanConfig = {
FORBID_ATTR: ['id', 'data-react-mount', 'data-react-props-id'],
ALLOW_DATA_ATTR: false,
};
const sanitized = DOMPurify.sanitize(content, cleanConfig);
// 第二步：移除所有 实体（注意：需处理编码后的 可能性）
const cleanedContent = sanitized
.replace(/ /gi, ' ') // 替换为普通空格（更语义合理）
.replace(/\s+/g, ' ') // 合并连续空白（含空格、制表、换行）
.trim();
console.log(cleanedContent);
// → '<p style="color:blue">Hello world</p>'⚠️ 注意：若输入中存在双重编码（如
），需额外处理。可叠加.replace(/ /gi, ' ')，或使用DOMPurify.addHook('afterSanitizeAttributes', ...)进行 DOM 级处理（较复杂，一般场景无需）。
✅ 方案二：净化前预处理（适用于纯字符串流程）
若你始终处理的是字符串而非真实 DOM 节点，可在调用 sanitize() 前直接清理：
const preprocessed = content.replace(/ /gi, ' '); const final = DOMPurify.sanitize(preprocessed, cleanConfig);
❌ 不推荐：强行扩展 DOMPurify 钩子
虽然 DOMPurify 提供 addHook('afterSanitizeAttributes' | 'beforeSanitizeElements')，但 属于文本节点内容（Text Node），不在属性/元素钩子作用范围内；若强行遍历 DOM 树操作，不仅增加复杂度，还可能破坏 DOMPurify 的安全上下文，得不偿失。
总结：将职责分离是最佳实践——让 DOMPurify 专注安全，让字符串方法专注格式。replaceAll() 或 replace() 简洁、高效、无副作用，且完全兼容现代浏览器（replaceAll 需 ES2021+，旧环境可用 replace(/ /g, ' ')）。
