命令行工具无法直接扫描html代码漏洞，只能检查语法、结构或静态模式；真正安全与可访问性问题需结合运行时环境、上下文逻辑和人工验证。
命令行工具无法直接“扫描HTML代码漏洞”——它只能检查语法、结构或静态可识别的模式，真正的安全与可访问性问题必须结合运行时环境、上下文逻辑和人工验证。别指望一个 htmlhint 或 xpoc 命令扫完就宣告安全。
用 htmlhint 检查基础 HTML 结构问题
htmlhint 是个纯静态检查器，适合发现拼写错误、未闭合标签、缺失属性等低阶问题，但它完全不知道 aria-label 该不该加、alt="" 是否合理、或者 button 在 modal 里要不要 focus。它只认 token，不认语义。
- 安装后直接跑：
htmlhint index.html，默认规则对可访问性几乎无效 - 想强制检查 alt，得手动启用：
htmlhint --rules {"attr-no-duplication":true,"attr-req-alt":true} index.html - 但
attr-req-alt会把所有img都报错，哪怕它是装饰性图标（此时alt=""才合法）——它分不清上下文 - Vue/React 模板文件基本失效：它解析不了
v-if或{children}，更看不到组件 props 如何影响最终 DOM
用 axe-core 在终端里跑轻量可访问性检查
真正能贴近真实渲染效果的命令行方案，是用 axe-core + Puppeteer 启动无头浏览器执行检测。这比 htmlhint 有用得多，因为它看到的是实际生成的 DOM。
- 先装依赖：
npm install axe-core puppeteer - 写个最小脚本
check-a11y.js，核心就是await axe.run(page)，不是axe.run(document) - 必须等页面加载完成再调用，否则返回空对象；动态内容要等
page.waitForSelector后再扫 - 重点看
violations里的color-contrast、image-alt、heading-order—— 这些才是影响真实用户的硬伤 - 别忽略
incomplete列表：比如landmark-one-main报 incomplete，说明 axe 看到了main但不确定是否唯一，得你去翻 DOM 确认
用 xpoc 或 xray 扫描 HTML 相关的服务端风险
如果你关心的是 HTML 页面背后的安全风险（比如 Clickjacking、XSS 反射、框架嵌入），那命令行工具确实能起作用，但对象不是 HTML 文件本身，而是它所依赖的 HTTP 响应和交互行为。
-
xpoc -t https://example.com -r clickjacking实际上是发请求，检查响应头有没有X-Frame-Options或Content-Security-Policy: frame-ancestors -
xray webscan --basic-crawler https://example.com会爬出所有表单、链接、JS 调用，再对每个参数注入测试 payload，看是否反射回 HTML 响应体中 - 这些工具不会读你本地的
index.html文件——它们只处理 live URL，且依赖你提供有效 Cookie 或代理配置才能进登录态 - 误报率不低：比如
video标签的src是用户可控字段，xray 可能报 XSS，但实际是否触发取决于 CSP 和浏览器策略，得你人工验证
最常被忽略的一点：所有命令行扫描结果都只是线索，不是结论。axe 报了 aria-hidden="true" 在 button 上？得打开 VoiceOver 看它是否真跳过这个按钮；xpoc 报了 Clickjacking？得手写一个含 iframe 的测试页确认是否真能嵌入。工具永远只告诉你“可能有问题”，而“有没有问题”这件事，必须在真实环境里由人来判定。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
