必须用 sandbox iframe 包裹广告并禁用同源权限，广告移除需保留 dom 占位，css 隔离依赖 shadow dom，服务端须按上下文转义用户输入以防止 aria 关系链破坏。
广告容器没用 iframe + sandbox 导致屏幕阅读器混乱
第三方广告脚本常直接操作 document.body，插入 <div>、<code><iframe></iframe> 或覆盖全局样式，破坏语义结构。屏幕阅读器依赖 DOM 层级和 role/aria 属性导航，而广告代码往往：
• 没声明 role="banner" 或 aria-hidden="true"
• 在 <main></main> 内动态插入弹窗，打断内容流
• 用 position: fixed + z-index: 9999 把广告层压在焦点路径上，导致键盘用户卡死
必须强制用 <iframe sandbox="allow-scripts allow-popups"></iframe> 包裹所有广告位——sandbox="" 或缺失属性会导致浏览器拒收响应体，连 DOM 都不生成；加 allow-same-origin 则会让广告脚本读取你的 cookie 和 localStorage，彻底绕过同源策略。
广告移除后正文结构被破坏，ARIA 状态失效
很多广告过滤脚本粗暴调用 el.remove()，但没检查父级上下文。结果是：
• <article></article> 内的 <section></section> 被删，只剩孤立的 <h2></h2> 和空 <p></p>
• aria-labelledby 指向的 ID 元素消失，屏幕阅读器报“引用不存在”
• <main></main> 下只剩 header 和 footer，正文区域为空，AT（辅助技术）直接跳过整页
正确做法是：
• 只删带 data-ad="true" 属性且不在 <main></main>、<article></article> 或 [itemprop="articleBody"] 内部的节点
• 用 el.replaceWith(document.createTextNode('')) 替代 remove()，保留 DOM 占位，避免结构塌陷
• 移除后手动触发 document.getElementById('main').setAttribute('aria-busy', 'false') 通知 AT 内容已稳定
CSS-in-JS 或全局重置无法隔离广告样式污染
广告 SDK 常注入内联 <style></style> 或用 body { margin: 0 !important } 覆盖你页面的排版。CSS-in-JS（如 styled-components）只作用于自己生成的 class，对第三方注入的 <style></style> 标签完全无效。
将 Markdown 文章转换为微信公众号兼容的纯 HTML 格式。当用户要求"转成微信格式"、"生成公众号文章 HTML"、"排版到微信草稿箱"、"微信粘贴格式"时触发。输出带内联样式的纯 HTML，微信编辑器可直接渲染，无需额外适配。支持标题、段落、列表、粗体、行内代码、表格、引用块、代码块、配图的完整转换。
唯一可靠方案是 Shadow DOM：
• 对每个广告容器调用 el.attachShadow({ mode: 'open' })
• 不要用 shadowRoot.innerHTML = htmlString（<script></script> 不执行、<style></style> 不生效）
• 正确方式：用 <template></template> 包裹原始 HTML，再 cloneNode(true) 后逐个处理 <style></style> 和 <script></script> 标签
• 所有选择器必须限定在 shadowRoot 内，例如 shadowRoot.querySelector('.ad-close-btn').addEventListener(...)
服务端未做上下文感知转义，让广告 JS 获得闭合引号权限
可访问性降级常源于更底层的漏洞：你把用户输入拼进 HTML 属性却没转义，比如：<input value="{{ user_input }}"> → 攻击者输入 " onfocus=alert(1) autofocus="，直接执行 JS 并劫持焦点
服务端输出时必须按上下文转义：
• 在 HTML 元素内容中（<div>{{ input }}</div>）：转义 、<code>>、&、"、'
• 在 HTML 属性中（<div data-id="{{ input }}">）：额外确保引号被编码，Python 用 <code>html.escape(input, quote=True)，PHP 用 htmlspecialchars($input, ENT_QUOTES)
• 绝不能依赖前端 JS 转义——屏幕阅读器读取的是初始 HTML，不是 JS 渲染后的 DOM
最易被忽略的是：广告脚本本身不报错，但它的 DOM 操作会静默破坏 ARIA 关系链。验证时别只看控制台，要运行 document.querySelectorAll('[aria-labelledby]').forEach(el => console.log(el.getAttribute('aria-labelledby'), document.getElementById(el.getAttribute('aria-labelledby'))))，确认所有引用真实存在。
