页面允许用户自定义样式时，如何防止样式注入突破内容与界面安全边界？

# 核心结论

允许用户自定义样式时，首选提供颜色、字号、间距等结构化主题令牌，由可信代码映射为固定类名，而不是接收任意 CSS。确需支持样式文本时，应使用与浏览器语法一致的解析器构建语法树，对选择器、属性、值、函数和资源协议执行白名单校验，并将影响范围限制在用户内容根节点。高风险内容应放在独立来源的受限 iframe 中。安全目标不是简单消除某个关键字，而是保证用户样式不能覆盖宿主关键界面、读取敏感状态、发起非预期网络请求或获得脚本能力。

# 底层机制

样式通常不具备普通脚本的完整执行能力，但能控制位置、尺寸、层级、透明度和点击命中区域。攻击者可能覆盖真实按钮、伪造登录框、隐藏安全提示或诱导用户点击。`url(