微前端平台同时加载富文本与第三方组件时，如何限制脚本执行能力和攻击影响范围？

# 核心结论

微前端平台同时加载富文本和第三方组件时，应把主应用、自有子应用、第三方代码及用户内容划分为不同信任域，并分别限制其脚本执行、数据读取、网络访问和会话使用能力。富文本应通过结构化净化与安全渲染控制内容能力；非完全可信的第三方组件应优先运行在独立来源的 sandbox iframe 中；主页面再使用严格的 CSP、Trusted Types、最小化跨窗口通信和独立内容域降低攻击成功率及影响范围。任何单一措施都不足以同时解决内容注入和第三方代码失陷。

# 底层机制

XSS 的本质是不可信数据进入浏览器可执行上下文。文本节点、HTML 属性、地址、样式和脚本字符串由不同解析器处理，因此不存在适