防止HTML代码被窃取需采取五类措施：一、服务端渲染与动态内容生成；二、禁用右键与选择限制；三、混淆与内联脚本剥离；四、配置Content-Security-Policy头；五、源码访问控制与反爬机制。
如果您发现网站的HTML源代码容易被他人直接查看或复制，这可能导致敏感逻辑暴露、设计被抄袭或恶意利用。以下是防止HTML代码被窃取的安全措施：
一、服务端渲染与动态内容生成
将关键结构和逻辑保留在服务器端，仅向浏览器返回最终渲染结果，避免在HTML中暴露原始模板、API路径或业务规则。
1、使用Node.js、PHP或Python等后端语言动态生成HTML响应，而非静态HTML文件。
2、对用户身份进行校验后，再拼接关键DOM片段并输出，确保未授权请求无法获取完整页面结构。
立即学习“前端免费学习笔记（深入）”；
3、在服务端对敏感字段（如管理接口URL、调试标识）进行条件过滤，不写入响应流。
二、禁用右键与选择限制（基础前端防护）
该方法虽不能阻止技术熟练者获取代码，但可增加普通用户的复制难度，降低非专业窃取行为的发生率。
1、在页面
标签中添加oncontextmenu="return false"属性，禁用鼠标右键菜单。2、为
添加onselectstart="return false"和oncopy="return false"事件，阻止文本选中与复制操作。3、通过CSS设置user-select: none;作用于关键容器元素，抑制浏览器原生选择行为。
三、混淆与内联脚本剥离
对嵌入HTML中的JavaScript代码进行混淆处理，并移除可读性高的注释与结构，使逆向分析成本显著提高。
1、使用Terser或JavaScript Obfuscator工具对内联
2、将原本位于HTML内的事件处理函数（如onclick="doSubmit()"）迁移至外部JS文件，并启用SRI（子资源完整性）校验。
3、删除HTML中所有及script标签内的调试语句、版本号、作者信息等元数据。
四、Content-Security-Policy头配置
通过HTTP响应头限制资源加载来源与执行权限，防止XSS攻击导致的DOM劫持与源码窃取扩展行为。
1、设置Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval';，禁止外域脚本注入。
2、移除'self'以外的任意通配符或域名白名单，尤其禁用data:、blob:等可被用于构造恶意载荷的协议。
3、对内联样式与脚本添加nonce值验证，确保只有服务端签发的合法片段才能被执行。
五、源码访问控制与反爬机制
识别并拦截自动化工具对HTML源码的高频请求，结合IP信誉与行为特征实施访问限制。
1、在Web服务器（如Nginx）配置中，对User-Agent包含curl、wget、python-requests等字段的请求返回403状态码。
2、启用Referer检查，拒绝无来源或来源异常的GET /index.html类请求。
3、为HTML响应添加随机变化的查询参数（如?v=8a3f9），并在服务端校验其有效性，使缓存与批量抓取失效。
