默认绑定规则不参与微前端沙箱隔离，真正起作用的是proxy拦截、fakewindow管理与生命周期清理；安全阈值由白名单透传、写入收敛、敏感属性拦截及动态执行管控共同界定。
默认绑定规则本身不参与微前端沙箱的全局变量隔离，它无法设定或控制“安全阈值”。真正起作用的是沙箱机制的设计层级（如 Proxy 拦截粒度、fakeWindow 状态管理、生命周期清理策略），而非 JavaScript 中函数调用时 this 的默认绑定行为。
默认绑定规则在沙箱中不起隔离作用
JavaScript 的默认绑定（非严格模式下普通函数调用时 this 指向 window）是一种运行时求值机制，它不拦截、不记录、不阻止任何赋值操作。微前端中防止 window.foo = 1 这类污染，靠的是：
- Proxy 的
settrap 拦截对代理对象（如 fakeWindow）的所有属性写入 - 将子应用脚本执行上下文显式绑定到该代理对象（如
app.mount.call(fakeWindow)） - 禁止子应用直接访问原生
window，所有全局访问都经由代理中转
真正决定“安全阈值”的是沙箱实现方式
所谓“安全阈值”，实际指沙箱允许子应用多大程度触达主环境。这由以下设计明确界定：
-
白名单透传：只允许子应用读取特定原生 API（如
setTimeout、fetch），其余一律屏蔽或返回空/报错 -
写入收敛：所有
window.xxx = yyy都落在 fakeWindow 上，卸载时清空整个对象，不回写真实 window -
敏感属性拦截：对
location、history、document等定义 getter/setter，set 时直接 throw 或静默忽略 -
动态执行管控：禁用
eval、Function构造函数、with，防止绕过代理直接操作全局
需要主动防御的典型逃逸场景
即使有 Proxy 沙箱，以下行为仍可能突破隔离边界，必须额外设防：
- 子应用通过
window.addEventListener('click', handler)注册全局监听器——沙箱不代理该方法，卸载后残留 - 第三方库内部使用
document.write或修改document.body——需配合样式隔离与 DOM 沙箱（如 Shadow DOM 或 iframe） - 异步回调中裸函数丢失上下文，
this指向真实 window——应统一用箭头函数或显式.bind(fakeWindow) - 多个子应用共用同一 fakeWindow 实例——导致变量覆盖，必须为每个子应用创建独立 fakeWindow
推荐落地配置要点
在 qiankun 或自研沙箱中，可立即生效的加固项：
- 启用
strictStyleIsolation: true或experimentalStyleIsolation: true防样式污染 - 在
settrap 中对__POWERED_BY_QIANKUN__、APP_ENV等关键字段做格式校验与日志记录 - 重写
addEventListener/removeEventListener，自动打标并纳入生命周期统一清理 - 主应用暴露
getAppInstance(id)接口，供子应用按需获取受控的共享服务（如 authClient、logger），而非直接挂 window
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
