html解析器对注释的处理是“跳过”而非“忽略”，需扫描识别所有间内容并校验边界，消耗cpu和栈空间，不生成dom节点但保留于响应体中导致敏感信息泄露。
HTML解析器对注释的处理是“跳过”而非“忽略”
浏览器HTML解析器在构建DOM树前，必须扫描并识别所有<!--到-->之间的内容，然后丢弃。这个过程不是零开销：解析器要维护状态机、匹配起始/结束标记、校验注释边界（比如防止-->提前出现），再把整块内容从流中剥离。它不生成Comment节点以外的任何结构，但会消耗CPU周期和少量栈空间。
注释里的<script>或CSS为什么完全不执行</script>
因为HTML解析器在进入注释状态后，会直接跳过后续所有字符，直到遇到-->。这意味着：
-
<!-- <script>alert(1)</script> -->→ 整段被当作文本丢弃，JS引擎根本收不到这段字符串 -
<!-- .btn { color: red; } -->→ CSS解析器压根没机会看到它，样式规则不会注册、不参与层叠计算 - 即使注释跨多行、含换行符或
<code>>等特殊字符，只要没触发-->提前闭合，就始终处于“跳过”状态
为什么<!-- TODO: ... -->上线后等于公开密码
浏览器确实不执行、不渲染、不解析注释内容，但它**原样保留在HTTP响应体中**，随整个HTML文件一起发给客户端。任何人右键“查看页面源代码”、用curl抓包、或写个grep -r "password\|TODO\|internal-api" *.html就能批量扫出线索。这不是“可能泄露”，而是必然暴露——尤其当注释里藏着<!-- API_KEY=sk_live_...或<!-- dev mode: /admin/login?token=...时。
服务端模板注入注释时最危险的坑
如果用EJS、Django、Thymeleaf这类模板引擎动态拼接HTML，<!-- <%= config.db_password %> -->看着像注释，实则在服务端就被执行了，密码明文写进最终HTML。更隐蔽的是，若动态内容里含-->（比如日志字段值为"done --> success"），会导致注释提前闭合，后续HTML结构错乱甚至XSS风险。真正安全的做法是：用data-属性传参、前端JS里解构JSON、或干脆别往注释里塞任何动态数据。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
