答案：审查HTML在线运行代码需确保结构完整、过滤危险元素、限制外部引用、沙箱化环境并进行静态分析。首先检查DOCTYPE、html、head、body等基本结构是否齐全，并用解析器验证语法；接着禁止script标签、内联事件、iframe及javascript:协议链接；只允许从可信CDN加载CSS和HTTPS图片，阻止data: URI；通过带sandbox属性的iframe隔离运行，谨慎控制权限并配合CSP策略；最后使用HTMLLint规范格式，检测黑名单关键词，哈希去重恶意样本，实现安全可控的代码执行环境。
如果您在开发或维护一个支持HTML在线运行的平台，确保用户提交的代码安全且符合规范是至关重要的。以下是对HTML在线运行代码进行审查的关键流程：
一、验证代码结构完整性
此步骤用于确认用户提交的HTML代码具备基本的文档结构，能够被浏览器正确解析。
1、检查是否包含 <!DOCTYPE html> 声明，以确保文档类型正确。
2、验证是否存在根级 <html> 标签，并且有对应的开始和结束标签。
立即学习“前端免费学习笔记（深入）”；
3、确认 <head> 和 <body> 区域均已定义，且内容放置合理。
4、使用标准HTML解析器对代码进行语法校验，标记任何不闭合或嵌套错误的标签。
二、过滤危险元素与属性
为防止XSS攻击或其他恶意行为，必须移除或拒绝含有潜在风险的HTML标签和属性。
1、禁止使用 <script> 标签，避免执行任意JavaScript代码。
2、移除所有内联事件处理器，如 onclick、onload、onerror 等属性。
3、禁用 <iframe> 标签，防止加载外部不可信内容。
4、过滤 src、href 中的 javascript: 协议链接。
三、限制外部资源引用
控制外部文件的引入可减少安全风险并提升运行环境稳定性。
1、仅允许从可信域名加载CSS和字体资源，例如 cdn.jsdelivr.net 或 unpkg.com。
2、阻止引用远程图片链接，除非其协议为 HTTPS 且主机名在白名单中。
3、对所有外部资源URL进行正则匹配，拒绝包含数据URI（data:）或 base64 编码脚本的内容。
四、沙箱化渲染环境
通过隔离运行环境来限制代码的实际影响范围，保障系统整体安全。
1、将用户代码注入到独立的 iframe 中运行，设置 sandbox 属性以禁用脚本和表单提交。
2、启用 iframe 的 sandbox="allow-same-origin allow-scripts" 时需谨慎，并附加CSP策略。
3、监控 iframe 内的 DOM 变更行为，记录异常操作日志。
五、静态分析与自动化检测
利用工具自动扫描代码模式，识别潜在违规或低质量代码。
1、集成HTMLLint类工具对代码格式进行检查，要求缩进一致、标签小写等。
2、运行基于规则的检测引擎，查找黑名单关键词如 eval、document.cookie 等。
3、对输入内容计算哈希值，防止重复提交已知恶意代码样本。
