如何为 AI 生成的 HTML 搭建隔离预览

安全工程师 ibobev 撰文演示如何为 AI 生成的 HTML 搭建隔离预览，先用 srcdoc 复现三种攻击，再逐层加固。三种攻击分别是读取宿主页面 DOM 与 localStorage、导航顶层窗口或弹窗、用 fetch 和图片请求把数据带出，前两种靠 sandbox 拦截，第三种只能靠预览文档上的 CSP 挡住。