微前端主应用对子应用HTML资源加载与沙箱隔离的维护

云枫大大_3345

云枫大大_3345

2026-07-04

873人浏览

原创

不能直接 innerhtml 注入,因为浏览器解析时绕过沙箱:内联 script 不执行、link 不加载、style 注入全局导致 js 失控、样式污染和 xss 风险;正确做法是用 domparser 解析后提取 body 并逐节点处理。

微前端主应用对子应用html资源加载与沙箱隔离的维护

子应用 HTML 被 fetch 后为什么不能直接 innerHTML 注入

因为浏览器对 innerHTML 的解析完全绕过沙箱控制:内联 <script></script> 不执行、<link rel="stylesheet"> 不加载、<style></style> 直接注入 document 全局样式表——这三类逃逸会同时导致 JS 执行失控、样式污染、XSS 风险。

正确路径是用 DOMParser 解析字符串,得到标准 Document 对象,再从中提取 doc.body 作为纯净 DOM 片段挂载。这个过程让主应用能逐节点接管:
• 所有 <script></script> 标签被拦截,外部资源走 fetch 加载,内联脚本用 Function 构造器在重绑定 this/window/document 的沙箱中执行
• 所有 <style></style> 内容被提取为字符串,后续可转成 CSSStyleSheet 实例,走 shadowRoot.adoptedStyleSheets 注入(若启用 Shadow DOM)或挂载到子应用容器内
• doc.body.innerHTML 是最终挂载内容,它不含原始执行上下文,也不触发全局副作用

子应用静态资源路径为何必须绝对化

子应用独立运行时,src="./main.js" 没问题;但被主应用 fetch 后,在主应用域名下执行,相对路径会以主应用 base 为起点拼接,结果变成 https://main.com/./main.js → 404。

解决方案分两层:
• 构建阶段:子应用 Webpack 配置 publicPath 必须设为完整协议域名,如 'https://sub.example.com/',禁用 'auto' 或 './'
• 运行时兜底:主应用在 DOMParser 解析前,遍历所有 script[src] 和 link[href] 属性,用正则或 DOM 操作补全协议+域名
• 禁止子应用 HTML 中出现 document.write 或 eval,它们会跳过路径重写逻辑,直接触发 404 或执行失败

样式隔离靠 DOM 移除而非手动删 style 标签

HTML Entry 模式下,样式隔离的底层机制是“挂载即注入,卸载即销毁”:子应用卸载时,主应用把整个子应用根节点(含其内部所有动态插入的 <style></style>、<link>)一并从 DOM 中移除。浏览器收到删除指令后自动重建 CSSOM,原样式立即失效。

HTML Extract
HTML Extract

使用 MinerU 从 HTML 页面和文件中提取内容,将 HTML 转换为保持标题、列表、表格及文本层次结构的干净、结构化 Markdown。F...

下载

但以下情况会逃逸:
• document.head.appendChild(style) —— 新增的 <style></style> 不在子应用根节点下,卸载时不会被清理
• Ant Design Modal 默认挂载到 document.body,其样式脱离容器,沙箱无法回收
• 子应用 HTML 中有全局作用的 <style></style>(如 body { margin: 0 }),且未启用样式沙箱快照机制

必须强制:
• 所有 UI 渲染限定在容器节点内
• 第三方组件库显式传入 getContainer 配置,指向子应用容器
• 禁用子应用直接操作 document.head;如需动态加样式,走主应用提供的通信接口或 props 注入

内联 script 怎么避免污染 window

子应用 HTML 中写 <script>window.myLib = {}</script> 会跳过沙箱,直接污染真实 window。这不是语法错误,而是执行时机问题:这类脚本在 DOMParser 解析后、沙箱环境建立前就已执行。

qiankun 的 execScripts 函数能解决,但它依赖子应用配合——必须确保内联脚本不依赖未初始化的全局变量,且不调用 document.write 等破坏性 API。
更稳妥的做法是:
• 子应用构建时禁用内联脚本,全部打包进外部 JS 文件
• 如确需内联,只允许纯声明式代码(如常量定义),禁止赋值 window.xxx 或调用函数
• 主应用在解析 HTML 后,对所有内联 <script></script> 节点做包裹处理:用 new Function('window', 'document', '...') 在 fakeWindow 上下文中执行

最容易被忽略的是:即使用了 Proxy 沙箱,内联脚本若在沙箱激活前执行,依然污染全局。沙箱生效的前提是——脚本执行必须发生在沙箱已激活之后。

前端入门到VUE实战笔记:立即使用
在学习笔记中,你将探索 前端 的入门与实战技巧!

相关文章

HTML速学教程(入门课程)
HTML速学教程(入门课程)

HTML怎么学习?HTML怎么入门?HTML在哪学?HTML怎么学才快?不用担心,这里为大家提供了HTML速学教程(入门课程),有需要的小伙伴保存下载就能学习啦!

下载

相关标签:

html 前端

本站声明:本文内容由网友自发贡献,版权归原作者所有,本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容,请联系admin@php.cn

相关专题

更多
python是前端还是后端
python是前端还是后端

Python属于前端也属于后端,其灵活性和丰富的生态系统使得开发人员能够在不同的领域中灵活运用。本专题为大家提供python相关的文章、下载、课程内容,供大家免费下载体验。

2023.08.11

2103

5

前端如何实现即时通讯
前端如何实现即时通讯

实现即时通讯的方法有WebSocket、Long Polling、Server-Sent Events、WebRTC等等。详细介绍:1、WebSocket,它可以在客户端和服务器之间建立持久连接,实现实时的双向通信,前端可以使用 WebSocket API来创建WebSocket连接,并通过发送和接收消息来实现即时通讯;2、Long Polling,是一种模拟实时通信的技术等等。

2023.10.09

4483

6

前端和后端的区别
前端和后端的区别

前端关注的是用户界面的设计和交互,而后端则注重数据处理和逻辑控制。想了解更多前端后端的相关内容,可以阅读本专题下面的文章。

2024.03.19

5630

13

php和前端的关联介绍
php和前端的关联介绍

php既可以作为前端语言,也可以作为后端语言。想了解更多php和前端的相关内容,可以阅读本专题下面的文章。

2024.03.22

5078

10

前端外包工作内容有哪些
前端外包工作内容有哪些

前端外包工作内容包括:1. 网站和应用程序开发;2. 用户界面和交互设计;3. 用户体验优化;4. 设计和视觉开发;5. 跨浏览器兼容性;6. 性能优化;7. 维护和更新;8. 项目管理和沟通。想了解更多前端的相关内容,可以阅读本专题下面的文章。

2024.05.22

723

5

html版权符号
html版权符号

html版权符号是“©”,可以在html源文件中直接输入或者从word中复制粘贴过来,php中文网还为大家带来html的相关下载资源、相关课程以及相关文章等内容,供大家免费下载使用。

2023.06.14

5055

7

html在线编辑器
html在线编辑器

html在线编辑器是用于在线编辑的工具,编辑的内容是基于HTML的文档。它经常被应用于留言板留言、论坛发贴、Blog编写日志或等需要用户输入普通HTML的地方,是Web应用的常用模块之一。php中文网为大家带来了html在线编辑器的相关教程、以及相关文章等内容,供大家免费下载使用。

2023.06.21

2952

4

html网页制作
html网页制作

html网页制作是指使用超文本标记语言来设计和创建网页的过程,html是一种标记语言,它使用标记来描述文档结构和语义,并定义了网页中的各种元素和内容的呈现方式。本专题为大家提供html网页制作的相关的文章、下载、课程内容,供大家免费下载体验。

2023.07.31

2610

5

html空格
html空格

html空格是一种用于在网页中添加间隔和对齐文本的特殊字符,被用于在网页中插入额外的空间,以改变元素之间的排列和对齐方式。本专题为大家提供html空格的相关的文章、下载、课程内容,供大家免费下载体验。

2023.08.01

2639

5

热门下载

更多
网站特效
/
网站源码
/
网站素材
/
前端模板

精品课程

更多
相关推荐
/
热门推荐
/
最新课程
GDB 17.2 官方文档集合
GDB 17.2 官方文档集合

共0课时 | 0人学习

Bootstrap 入门安装配置
Bootstrap 入门安装配置

共0课时 | 0人学习

38+ PhpStorm 提示和技巧
38+ PhpStorm 提示和技巧

共1课时 | 209人学习