tailwind.config.js 修改的是构建逻辑，所有配置在构建阶段静态解析并注入CSS，浏览器只接收纯CSS规则；手动拼接类名存在XSS风险，自定义值必须通过theme.extend声明，任意值语法绕过校验与PurgeCSS保护，插件和layer需在config中显式启用，safelist仅匹配构建期扫描到的静态类名。
tailwind.config.js 修改的是构建逻辑，不是运行时样式
直接改 tailwind.config.js 不会引入任意值执行风险，因为所有配置都在构建阶段被静态解析、注入到生成的 CSS 中，浏览器最终只拿到纯 CSS 规则。而手动在 HTML 或 JS 里拼接类名（比如 className={`text-${userInput}-500`}）会让未过滤的输入直通渲染层，可能触发 XSS。
自定义颜色/间距等必须走 config，不能靠任意值硬编码
如果你需要 bg-brand-blue 或 p-safe 这类语义化类名，唯一安全方式是写进 theme.extend.colors 或 theme.extend.spacing。否则只能用 bg-[#2563eb] 这种任意值语法——它绕过所有校验，用户输入若含 ]、; 或 JS 片段，PostCSS 解析器可能误判或留出注入点。
- 任意值不经过
tailwind.config.js的safelist或content扫描，无法被 PurgeCSS 识别和保护 - 框架如 React 对
style属性有自动转义，但对class属性不做任何处理 - 即使你用
DOMPurify.sanitize()清洗 class 字符串，也无法保证 Tailwind 能正确解析清洗后的结果（比如text-[hello-world]可能被截断）
插件和 layer 规则必须在 config 里声明，否则构建时直接丢弃
像 @tailwindcss/forms 或 @layer components 这类扩展能力，全部依赖 PostCSS 插件链在构建时介入。CDN 版或任意值写法完全跳过这一步——你写了 class="checkbox"，但没在 plugins 里启用表单插件，最终 CSS 文件里根本没这条规则，浏览器查不到对应样式。
使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。
-
tailwind.config.js是唯一可信的配置入口，所有主题、变体、安全白名单都从这里统一管控 - 动态生成类名 + 任意值 + 未声明插件 = 三重失效叠加，上线后样式大面积丢失
- 本地构建失败会立刻报错（比如插件路径不对），而 CDN 或任意值问题要等用户点击才暴露
真正容易被忽略的：config 里的 safelist 不是“兜底”，而是精准防御
很多人以为加了 safelist: [/^bg-/] 就万事大吉，其实它只保留在构建时被扫描到的类名模式。如果某个动态类名（如 bg-dynamic-123）没出现在 content 指定路径的源码里，safelist 根本不会触发——它不扫描运行时字符串，只匹配构建期提取的静态类名集合。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
