Method createElement

src/js/modules/html-sanitizer.js:130–156

* 创建安全的 DOM 节点 * @param {string} tag - 标签名 * @param {Object} attributes - 属性对象 * @param {string|HTMLElement[]} children - 子元素 * @returns {HTMLElement}

(tag, attributes = {}, children = [])

   * @returns {HTMLElement}
   */
  static createElement(tag, attributes = {}, children = []) {
    const element = document.createElement(tag);

    // 设置属性（自动转义）
    Object.entries(attributes).forEach(([key, value]) => {
      // 禁止设置事件处理器
      if (key.startsWith('on')) {
        console.warn(`[HTMLSanitizer] Blocked event handler: ${key}`);
        return;
      }

      // 转义属性值
      element.setAttribute(key, this.escapeAttr(value));
    });

    // 添加子元素
    const childArray = Array.isArray(children) ? children : [children];
    childArray.forEach(child => {
      if (typeof child === 'string') {
        element.appendChild(document.createTextNode(child));
      } else if (child instanceof HTMLElement) {
        element.appendChild(child);
      }
    });

    return element;
  }

  /**
   * 验证 URL 安全性