html注释必须上线前强制清理，否则敏感信息直接暴露；html-minifier的removecomments失效主因是作用范围局限，如仅处理入口html而忽略ejs/thymeleaf模板、jsp/php文件及ssr动态生成内容。
HTML注释不会被浏览器执行，但会原样发送到客户端——清理不是“可选优化”，而是上线前的强制动作。没清理=敏感信息贴在首页公告栏上。
html-minifier 的 removeComments: true 为什么有时不生效
配置写了却还在源码里看到 <!-- TODO: api=http://dev-api:3000 -->？常见断点不在配置本身，而在作用范围：
- 只处理入口
index.html，但 EJS/Thymeleaf 模板生成的 HTML 在服务端拼接完成，构建阶段根本碰不到这些注释 -
html-webpack-plugin默认不处理.jsp或.php文件，而这类文件里常混着<!-- dev mode --> - CI/CD 中 build 和 deploy 分离，build 产物被缓存复用，但注释清理逻辑只在首次 build 触发
- 本地
npm run dev时注释全留着，误以为“上线自动消失”，实际生产包根本没走清理流程
哪些注释类型必须人工检查，不能依赖构建工具
构建工具只管静态 HTML 文件，但以下场景注释根本不在它的扫描路径里：
- SSR 模板中动态插值：
<!-- DB_HOST=<%= process.env.DB_HOST %> -->—— 这行在服务端渲染时才生成，构建阶段看不到 - CMS 输出的 HTML 片段（如富文本编辑器导出内容），可能带
<!-- internal-use-only --> - 邮件模板里的 HTML，和前端构建完全隔离，但最终也发给用户
- JSP 文件里混用的
<!-- HTML 注释 -->（注意：是安全的）
grep 快速扫描现有项目是否已泄露
别靠肉眼翻代码，用这条命令一次性过筛：
grep -r -n "password\|SECRET\|API_KEY\|internal-api\|TODO.*http\|dev-mode\|config:" src/ public/ **/*.html **/*.jsp **/*.php
如果返回结果里有真实值（比如 password=test123），说明已经暴露；如果只有占位符（如 password=__REDACTED__），才算可控。
真正安全的替代写法：用构建时注入代替注释
想标记开发环境或开关状态？注释不是唯一解，且风险极高：
- 调试 API 地址 → 改用
window.__DEBUG__ = {apiHost: import.meta.env.VUE_APP_DEBUG_API}，再配 WebpackDefinePlugin或 Vite 环境变量，在生产构建时置空或剔除整个 script 块 - 功能开关 → 用
data-feature-flag="payment_v2"属性，由 JS 控制显隐，不带任何逻辑或敏感值 - 结构说明类注释（如
<!-- header start -->）可保留，但禁止出现任何能推断系统拓扑、权限边界或未发布能力的描述
最易被忽略的一点：注释清理必须覆盖所有最终抵达浏览器的 HTML 路径——只要它被用户看到，就逃不过审查。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
