html5无需“改格式”，所谓在线工具实为html美化服务，但存在隐私泄露、xss注入等风险；推荐使用vs code插件prettier或本地prettier cli安全格式化。
别用在线工具格式化含业务逻辑或用户数据的 HTML 文件——它大概率会把你的代码发到后端，还可能执行其中的 <script></script> 或 onclick。
为什么粘贴进网页就等于上传了
多数所谓“前端运行”的在线格式化工具，实际会在你点“格式化”或甚至输入时，悄悄调用 fetch() 把内容发到自己的服务器。打开浏览器 DevTools → Network 面板，过滤 XHR 或 fetch，就能看到请求；没请求也不代表安全——有些工具直接在页面里用 innerHTML = userInput 渲染预览，遇到 <img onerror="alert(1)"> 就触发 XSS。
- 检查方式：Console 输入
typeof window.formatHTML === 'function'，返回true且 Network 无请求，才勉强算纯前端 - 哪怕声明“不存储”，只要用了第三方 CDN 加载解析器（如旧版
js-beautify），其脚本本身可能被篡改或注入 - 含中文注释的文件容易因工具忽略 BOM 或错误处理
charset导致乱码，后续复制回项目可能引入不可见字符
哪些 HTML 内容绝对不能粘贴
以下内容一旦提交，等于主动交出控制权：
- 带内联 JS 的片段，例如
<button onclick="doLogin()"></button>、<script>apiToken='xxx'</script> - 含敏感属性的标签，比如
<iframe src="https://admin.example.com"></iframe>、<img src="data:image/png;base64,...">（base64 可能泄露原始文件） - 使用自定义元素或 Web Component 的代码，很多在线工具解析器不支持
<my-button></my-button>，会删掉或错闭合，破坏语义
如果非用不可，只认这三条硬约束
临时应急可考虑，但必须同时满足：
- 页面 URL 是
https://且浏览器地址栏显示有效锁形图标（防中间人劫持传输） - 隐私政策原文明确写有“不记录、不存储、不转发用户提交的任何内容”，而非首页 banner 上的模糊承诺
- 提供“仅渲染预览”开关，且默认关闭“实时格式化”，避免你在输入
<div> 时就被自动补全成危险结构 <p>最常被忽略的一点：HTML5 的“格式”不是缩进好看，而是 <code><main></main>不嵌套在<div> 里、<code><img>有alt、<button></button>不缺type——这些语义合规性，没有一个在线工具能真正校验。要验证，得用html-validate或 W3C Validator。
