接口返回的富文本插进页面后显示成一串尖括号,不是数据错了,而是走了文本插入。本文复现这个现象,给出文本插入、直接渲染、消毒后渲染三条路径的完整代码与代价,并附上消毒白名单与漏洞验证清单。
OpenClaw 的自定义技能不用从空白写起,照着官方库里形态最接近的现成技能改最省事。本文给出三步路径:复制同类技能的结构、把 SKILL.md 的 description 写成触发场景并把步骤写成动作、用 openclaw skill install 安装后以真实指令验证两次。并说明三个高频失败分支与六步验证清单。
网页里跑 Python 到底在浏览器还是后端?本文对比 Pyodide、PyScript 与 Flask、FastAPI 三条路径:前者把 Python 编译进浏览器、不碰服务器,适合演示与轻量计算;后者在服务器端执行、能碰文件与数据库。并点出 CORS、超时与“直接 eval 用户代码”的安全红线,帮你按是否需要服务器资源快速选型。
点击子组件触发父组件是事件冒泡,用 stopPropagation;弹层滑动带动背景是滚动链,用 overscroll-behavior。本文讲清两种穿透的判定方法、合成事件管不到 document 原生监听等三个失败分支的修复办法,以及键盘可访问性的验证要点。