别用正则校验HTML标签结构，因其无法处理嵌套、注释、CDATA、属性引号混用及<script>等复杂语法；必须使用DOMParser或parse5等真实HTML解析器生成AST后校验。
HTML 中不能用正则校验标签结构
直接说结论：别用正则去解析或校验 HTML 文档结构，innerHTML、<script> 嵌套、属性引号混用、注释、CDATA 等会让任何正则迅速失效。浏览器原生的 DOMParser 或服务端真实 HTML 解析器（如 Python 的 BeautifulSoup、Node.js 的 parse5）才是正确选择。
如果只是校验简单 HTML 片段（如富文本输入框内容）
某些场景下，你确实只需要粗粒度过滤——比如禁止用户输入 <script>、<iframe>，或确保闭合标签大致匹配。这时可用正则做「防御性预筛」，但必须清楚它的局限：
-
/<script\b[^>]*>[\s\S]*?<\/script>/i可捕获常见<script>块，但会被<script src="..."></script>或换行/注释绕过 -
/<\/?[a-zA-Z][a-zA-Z0-9]*\b[^>]*>/g能提取所有标签，但无法判断嵌套是否合法 - 不要试图用正则验证
<div class="foo" id='bar' data-x=123>的属性格式——引号类型、等号有无空格、未转义的"都会导致匹配崩溃
真正该用正则的地方：校验 HTML 属性值内容
对属性值做内容限制是正则的合理用武之地，例如：
- 邮箱：
email="^[a-zA-Z0-9._%+-]+@[a-zA-Z0-9.-]+\.[a-zA-Z]{2,}$"（注意：这是校验值，不是校验整个email="..."属性） - URL：
href="^https?:\/\/[^\s]+$"，但需配合URL构造函数二次验证 - ID/Class 名：
id="^[a-zA-Z][a-zA-Z0-9_-]*$"，避免以数字开头或含空格
关键点：先用 DOM 提取属性值（如 el.getAttribute('href')），再对值本身跑正则，而不是对整段 HTML 字符串跑。
立即学习“前端免费学习笔记（深入）”；
html-to-pptx-converter
下载
使用 PptxGenJS 和 Python 解析，将结构化的 HTML/CSS 幻灯片内容转换为原生、可编辑的 PowerPoint（.pptx）演示文稿。
常见错误：用正则替换 HTML 标签实现「XSS 过滤」
这是高危操作。典型错误写法：
html.replace(/<script[^>]*>[\s\S]*?<\/script>/gi, '')
它会被如下方式轻松绕过：
-
<scr<u>ipt>alert(1)</scr<u>ipt>（混淆标签名） -
<img src=x onerror=alert(1)>（事件属性） -
<a href="javascript:alert(1)">click</a>（伪协议）
真正安全的做法是：使用 DOMPurify.sanitize()（前端）或 bleach.clean()（Python）、OWASP Java HTML Sanitizer（Java）等专用库，它们基于真实 HTML 解析树进行白名单过滤。
正则能做的，是辅助性的、面向已知简单模式的预处理；一旦涉及标签层级、属性上下文、实体解码或浏览器实际渲染行为，就必须交给 HTML 解析器。这点容易被忽略，但恰恰是 XSS 防御成败的关键分界线。
