data-ccp-* 属性源自 Microsoft Office 复制粘贴行为，需通过前端 paste 事件清洗与服务端 sanitizer 白名单双重拦截，而非简单删除，否则易破坏功能或遗留兼容隐患。
私有属性无法靠“删一次”解决，必须区分来源、分层拦截、源头治理。 它们不是写错的 class，而是不同系统注入的元数据，硬删可能破坏功能，漏删又埋兼容隐患。
识别 data-ccp-* 类私有属性的真实来源
这类属性基本都来自 Microsoft Office（Word/Outlook/Office 365）复制粘贴行为，不是开发者手写的，也不是框架生成的。它们附着在 span、p、div 等任意标签上，典型如：data-ccp-props、data-ccp-parastyle、data-contrast。注意：xml:lang、style="user-select: text" 这类也常伴随出现，虽非私有，但属冗余格式残留。
- 仅靠 W3C 验证器报错（"Attribute data-ccp-props not allowed"）不足以判断——它只告诉你不合规，不告诉你哪来、是否可删
- 用
document.querySelectorAll('[data-ccp-]')可快速验证是否存在，但别在生产环境直接执行该选择器——IE11 及以下不支持属性选择器前缀匹配 - 真实场景中，这些属性往往和
class="SCXW\d+ BCX\d+"这类哈希类名共存，说明是同一轮粘贴注入的整套标记
前端粘贴时清洗：用 paste 事件 + replace 清理最稳
这是唯一能覆盖动态插入、不影响已有 DOM 结构、且不破坏键盘导航的方案。重点不是“删掉”，而是“在内容落地前截住”。
- 监听编辑器容器的
paste事件，不要监听document全局——避免误处理富文本外的普通输入框 - 从
event.data.dataValue（TinyMCE/CKEditor）或event.clipboardData.getData('text/html')（原生）取原始 HTML 字符串 - 用链式
replace()清洗，顺序很重要：先清data-ccp-*，再清data-contrast，最后处理类名（避免正则跨属性误杀） - 示例清洗逻辑：
html.replace(/data-ccp-\w+="[^"]*"/gi, '').replace(/data-contrast="[^"]*"/gi, '').replace(/class="[^"]*(SCXW|BCX)\w*[^"]*"/gi, '') - 切勿用
innerHTML = cleaned直接赋值——会触发重排、丢失焦点、清空已绑定的addEventListener
服务端过滤才是根本：用 sanitizer 白名单卡死
前端清洗只是兜底。如果后端返回的 HTML 已含 data-ccp-props（比如 CMS 富文本字段直出），前端再怎么拦都晚了。
立即学习“前端免费学习笔记（深入）”；
- Node.js 场景推荐
sanitize-html，配置allowedAttributes白名单，显式禁止所有data-ccp-*属性 - 关键配置项：
exclusiveFilter: (frame) => frame.tag === 'span' && frame.attr && Object.keys(frame.attr).some(k => k.startsWith('data-ccp-'))，比单纯黑名单更精准 - PHP 可用
HTMLPurifier，Java 推荐jsoup的Whitelist.relaxed().removeAttributes("*", "data-ccp-*") - 注意：
DOMPurify.sanitize()默认不剔除data-*，必须手动加ADD_ATTR: ['data-ccp-props']并设为SAFE_FOR_TEMPLATES: false
为什么 removeAttribute 不适合批量清理已渲染 DOM
看似简单粗暴的 el.removeAttribute('data-ccp-props') 在真实项目里几乎不可行。
- 它只能删单个属性，而一个页面可能有几十个
data-ccp-*变体，逐个写太累，且容易漏掉新出现的变种（如data-ccp-custstyle） -
querySelectorAll('[data-ccp-]')在 IE11 及以下无效，旧系统仍需兼容时不能依赖 - 若元素已被 JS 动态 focus 过，某些 IE 行为会导致属性重新挂载（尤其配合
contenteditable） - 更麻烦的是：删完属性后，对应的内联样式（如
style="margin:0;padding:0"）可能还留着，视觉上仍异常——私有属性常和样式强耦合
真正难的不是“怎么删”，而是“怎么让它根本进不来”。前端清洗要跑在粘贴落盘前，服务端过滤要卡在入库/渲染前，二者缺一不可。任何只做一边的方案，上线后三个月内必出问题。
