不能直接 innerhtml 注入,因为浏览器解析时绕过沙箱:内联 script 不执行、link 不加载、style 注入全局导致 js 失控、样式污染和 xss 风险;正确做法是用 domparser 解析后提取 body 并逐节点处理。

子应用 HTML 被 fetch 后为什么不能直接 innerHTML 注入
因为浏览器对 innerHTML 的解析完全绕过沙箱控制:内联 <script></script> 不执行、<link rel="stylesheet"> 不加载、<style></style> 直接注入 document 全局样式表——这三类逃逸会同时导致 JS 执行失控、样式污染、XSS 风险。
正确路径是用 DOMParser 解析字符串,得到标准 Document 对象,再从中提取 doc.body 作为纯净 DOM 片段挂载。这个过程让主应用能逐节点接管:
• 所有 <script></script> 标签被拦截,外部资源走 fetch 加载,内联脚本用 Function 构造器在重绑定 this/window/document 的沙箱中执行
• 所有 <style></style> 内容被提取为字符串,后续可转成 CSSStyleSheet 实例,走 shadowRoot.adoptedStyleSheets 注入(若启用 Shadow DOM)或挂载到子应用容器内
• doc.body.innerHTML 是最终挂载内容,它不含原始执行上下文,也不触发全局副作用
子应用静态资源路径为何必须绝对化
子应用独立运行时,src="./main.js" 没问题;但被主应用 fetch 后,在主应用域名下执行,相对路径会以主应用 base 为起点拼接,结果变成 https://main.com/./main.js → 404。
解决方案分两层:
• 构建阶段:子应用 Webpack 配置 publicPath 必须设为完整协议域名,如 'https://sub.example.com/',禁用 'auto' 或 './'
• 运行时兜底:主应用在 DOMParser 解析前,遍历所有 script[src] 和 link[href] 属性,用正则或 DOM 操作补全协议+域名
• 禁止子应用 HTML 中出现 document.write 或 eval,它们会跳过路径重写逻辑,直接触发 404 或执行失败
样式隔离靠 DOM 移除而非手动删 style 标签
HTML Entry 模式下,样式隔离的底层机制是“挂载即注入,卸载即销毁”:子应用卸载时,主应用把整个子应用根节点(含其内部所有动态插入的 <style></style>、<link>)一并从 DOM 中移除。浏览器收到删除指令后自动重建 CSSOM,原样式立即失效。
但以下情况会逃逸:
• document.head.appendChild(style) —— 新增的 <style></style> 不在子应用根节点下,卸载时不会被清理
• Ant Design Modal 默认挂载到 document.body,其样式脱离容器,沙箱无法回收
• 子应用 HTML 中有全局作用的 <style></style>(如 body { margin: 0 }),且未启用样式沙箱快照机制
必须强制:
• 所有 UI 渲染限定在容器节点内
• 第三方组件库显式传入 getContainer 配置,指向子应用容器
• 禁用子应用直接操作 document.head;如需动态加样式,走主应用提供的通信接口或 props 注入
内联 script 怎么避免污染 window
子应用 HTML 中写 <script>window.myLib = {}</script> 会跳过沙箱,直接污染真实 window。这不是语法错误,而是执行时机问题:这类脚本在 DOMParser 解析后、沙箱环境建立前就已执行。
qiankun 的 execScripts 函数能解决,但它依赖子应用配合——必须确保内联脚本不依赖未初始化的全局变量,且不调用 document.write 等破坏性 API。
更稳妥的做法是:
• 子应用构建时禁用内联脚本,全部打包进外部 JS 文件
• 如确需内联,只允许纯声明式代码(如常量定义),禁止赋值 window.xxx 或调用函数
• 主应用在解析 HTML 后,对所有内联 <script></script> 节点做包裹处理:用 new Function('window', 'document', '...') 在 fakeWindow 上下文中执行
最容易被忽略的是:即使用了 Proxy 沙箱,内联脚本若在沙箱激活前执行,依然污染全局。沙箱生效的前提是——脚本执行必须发生在沙箱已激活之后。
前端入门到VUE实战笔记:立即使用
在学习笔记中,你将探索 前端 的入门与实战技巧!











