在浏览器控制台直接输入代码默认在全局作用域（window）执行；漏写声明、用var、显式赋值、函数声明、eval等均会污染window；推荐"use strict"、立即执行作用域、及时清理及使用snippets等安全调试习惯。
在浏览器控制台直接输入代码，本质上就是在全局作用域（window）中执行。哪怕只敲一行 let x = 1，它也不会污染 window（因为 let 是块级声明），但一旦漏写声明关键字、用 var、或显式赋值给 window，隐患就立刻出现。
控制台里哪些操作会悄悄污染全局？
这些看似无害的写法，实际都在往 window 上挂东西：
-
x = 100—— 没声明就赋值，在非严格模式下等于window.x = 100 -
var y = 'test'——var在顶层会绑定到window.y -
window.api = fetch或globalThis.config = {...}—— 主动挂载，等于开门放行 -
function init() {...}—— 函数声明在顶层也会变成window.init -
eval('z = 42')—— 特别危险，绕过大部分作用域限制
安全调试的三个实操习惯
不靠“记住规则”，而是用可落地的动作把风险卡住：
-
开头加
"use strict"：粘贴代码前先敲"use strict";回车，后续所有未声明赋值都会报错，而不是静默挂到window -
包裹在立即作用域里：把调试逻辑包进
{ let temp = ...; console.log(temp); }或(() => { /* 你的代码 */ })();，变量生命周期仅限当前块 -
查完即清，不用留痕：调试完顺手执行
delete window.xxx或for (const k of Object.keys(window).filter(k => k.startsWith('temp') || k === 'myTest')) delete window[k];
快速识别和清理已污染项
打开控制台，三行命令就能定位异常：
Object.keys(window).filter(k => !k.startsWith('_') && k.length —— 找短名变量（如 <code>a、data、fn）-
console.dir(window, { depth: 1 })—— 展开看顶层属性，留意非常规命名（比如__devTools、$utils） -
Object.getOwnPropertyDescriptors(window).xxx—— 查某属性是否configurable: true，能删就删；若为false，说明是原生或冻结对象，别硬删
长期建议：把控制台当“沙盒”，不是“主战场”
真正要验证逻辑，优先用：
-
console.log((() => { let a = 1; return a + 2; })())—— 表达式内自包含 - 新建一个
<script type="module"></script>标签动态插入，利用模块天然隔离（import/export都可用） - 用浏览器的“Sources → Snippets”功能存调试脚本，每次运行都自带独立作用域，且可复用、可注释
