DOMPurify 本身不提供直接过滤 的配置项，因其核心目标是 XSS 防护而非文本清洗；推荐在 sanitize 后使用原生 replaceAll() 或正则预/后处理，既简洁又可靠。
dompurify 本身不提供直接过滤 ` ` 的配置项，因其核心目标是 xss 防护而非文本清洗；推荐在 sanitize 后使用原生 `replaceall()` 或正则预/后处理，既简洁又可靠。
DOMPurify 是一个专注 XSS 防护的 HTML 清洗库，其设计原则是保留语义合法的 HTML 结构，而非进行文本规范化（如压缩空格、移除不换行空格等）。因此， （即 Unicode U+00A0）作为安全的字符实体，不会被任何内置 sanitizer 配置（如 FORBID_ATTR、ALLOW_DATA_ATTR 等）自动剥离——它既非危险属性，也非被禁止标签，故 customSanitizer 中无法通过配置项实现该需求。
✅ 正确做法：分两步处理——先用 DOMPurify 保障安全性，再用字符串/DOM 方法清理 ：
import DOMPurify from 'dompurify';
const content = '<p style="color:blue">Hello<span> </span>world</p>';
// Step 1: 安全 sanitize（保留合法 HTML，防御 XSS）
const sanitizerConfig = {
FORBID_ATTR: ['id', 'data-react-mount', 'data-react-props-id'],
ALLOW_DATA_ATTR: false,
};
let cleanedContent = DOMPurify.sanitize(content, sanitizerConfig);
// Step 2: 移除所有 实体（注意：需处理 HTML 字符串层面，非 DOM）
cleanedContent = cleanedContent.replaceAll(' ', ' ');
// ✅ 输出：<p style="color:blue">Hello world</p>
console.log(cleanedContent);
⚠️ 注意事项：
-
replaceAll(' ', ' ')仅替换字面量\u00a0）的文本。若输入中可能包含已解码的\u00a0（例如来自富文本编辑器的 innerText），应补充正则：.replace(/[\u00a0\u202f\u2007\u2000-\u200b\u2028\u2029]/g, ' ')
- 切勿在
DOMPurify.sanitize()前直接replaceAll原始 HTML 字符串并传入——这可能导致实体双重编码或破坏结构（如被误替换）。 - 若需更精细控制（如仅移除连续
innerHTML = sanitized→ 遍历文本节点递归替换\u00a0→ 序列化回字符串。
总之，将「安全净化」与「语义清洗」职责分离，既符合 DOMPurify 的设计哲学，又能确保代码清晰、可维护且无安全隐患。
