防止第三方脚本污染全局作用域的核心是切断其与window或globalThis的直接连接，需通过模块化加载、IIFE封装、显式命名空间、原型冻结及安全数据结构等多层防护协同实现。
防止第三方脚本污染全局作用域，核心是切断它与 window（浏览器）或 globalThis（通用）的直接连接，不让它的变量、函数、类自动挂载上去。这不是“堵漏洞”，而是主动“划边界”。
优先用模块化加载（ESM/CommonJS）
现代 JavaScript 的模块系统天然隔离作用域：
- 确保第三方库通过
import引入，而不是<script src>直接加载； - Webpack、Vite 等打包工具会自动把每个模块包裹进独立函数作用域，
var/let/const不会泄漏到全局； - 警惕老库仍往
window挂变量（比如window.$），改用其 ESM 版本（import $ from 'jquery'），或配置externals避免打包，再手动清理。
无模块时用严格模式 + IIFE 包裹
对必须执行的老脚本（如未打包的 SDK），手动创建私有环境：
- 在插入脚本前，用
(function() { "use strict"; /* 脚本内容 */ })();封装； - 严格模式让
this === window类逻辑失效，也禁用with和eval这类易逃逸操作； - 检查库源码中是否有
root = this或typeof window !== "undefined"等主动绑定全局的代码，必要时替换为模块化版本。
显式命名空间 + 即时清理
对完全无法改造的脚本，加一层“壳”再收口：
deep-java-review
下载
Java项目代码review工具。分析Git变更+完整调用链路上下文，推断业务需求，进行多维度评分和分类汇总，生成完整PRD文档。包含细粒度Java代码审查清单（Null安全、异常处理、Streams、并发、equals/hashCode、资源管理、API设计、性能、MyBatis/ORM、事务边界、SQL/DD...
立即学习“Java免费学习笔记（深入）”；
- 先声明唯一命名空间对象，如
const MySDK = {};； - 动态加载脚本后，把暴露的接口手动赋值过去：
MySDK.Chart = window.Chart;； - 立刻删除原始全局引用：
delete window.Chart;（仅限浏览器且确认无其他依赖）； - 后续所有调用都走
MySDK.Chart，不再触碰window上的名字。
配合原型冻结与安全数据结构
全局污染常伴随原型篡改和对象注入，需叠加防护：
- 在页面第一个
<script>顶部立即执行：Object.freeze(Object.prototype)等六类关键原型冻结； - 避免用普通对象
{}存配置或映射，改用Object.create(null)或Map； - 解析 JSON 或 URL 参数后合并前，过滤键名：
"__proto__"、"constructor"、"prototype"及其大小写变体。
不复杂但容易忽略：真正起效的不是某一个技巧，而是从加载方式、执行时机、数据结构到属性访问的整条链路都设防。
