关键在于用 proxy 包裹原始对象而非替换它，仅对高价值属性（如 location、performance）单独代理，避免全量包裹；通过 object.defineproperty 劫持不可配置属性；监听需异步非阻塞，采样聚合后延迟上报；兼容性场景主动降级。
关键在于用 Proxy 包裹原始对象，而非替换它本身——所有外部代码仍通过原变量名（如 window、globalThis）访问，代理层在背后静默拦截并上报，不改变任何引用关系。
保持原始引用不可替代
不能重赋值 window = new Proxy(...)，这会破坏闭包中已持有的原始引用，导致部分代码失效。正确做法是：只对需要监控的属性做代理，其余保持透传；或利用 Object.defineProperty 动态劫持特定属性，让读写操作自动走代理逻辑，而变量本身仍是原对象。
- 对
window.location、window.performance等高价值目标单独代理，避免全量包裹window - 使用
Object.defineProperty(window, 'fetch', {...})替代Proxy(window, {...})，因 fetch 是不可配置属性，Proxy 无法拦截 - 若需监控动态新增属性（如
window.myCustomApi），则必须用 Proxy 包裹整个对象，并确保该 Proxy 被设为不可被覆盖（writable: false）
无感知采集：只监听，不阻塞
监控逻辑必须异步、非阻塞，且不影响原有返回值结构与执行时序。所有日志、计时、采样都应在 get/set 陷阱内完成，再立刻调用 Reflect.get 或 Reflect.set 放行。
CPA Update - Secure CLI Proxy API Maintenance
下载
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
- 在
get中记录访问路径和时间戳，但立即返回原值，不 await、不 try/catch 外部逻辑 - 对函数类属性（如
setTimeout）用apply陷阱，在调用前后打点，但必须用Reflect.apply(target, thisArg, args)保证上下文与参数完整 - 避免在陷阱中执行 DOM 操作或发起网络请求，防止触发渲染阻塞或竞态问题
性能兜底：采样 + 聚合 + 延迟上报
高频访问（如 window.innerWidth、Date.now()）若逐次上报，会拖慢主线程。应引入轻量级采样策略：
- 按时间窗口聚合：每 100ms 内只记录首次和末次访问，中间合并为统计摘要
- 按调用栈去重：相同函数路径下的重复访问，仅上报一次“高频访问”标记
- 延迟批报：将采集数据暂存内存队列，空闲时（
requestIdleCallback）或页面隐藏时统一发送
兼容性与安全边界
某些环境（如 iframe、Web Worker、CSP 严格策略）下，直接代理 window 可能失败或受限。需主动降级：
- 先检测
typeof window === 'object'和Proxy.toString().includes('native')判断可用性 - 在 Web Worker 中改用
self代理；iframe 中优先代理其contentWindow而非父级 - 对不可代理对象（如
location的部分属性），改用Object.defineProperty+ getter/setter 组合模拟
