Node.js环境下应使用哪个DOMPurify isSupported？能否忽略全局isSupported？

核心结论 #

• 完全可以忽略全局的DOMPurify.isSupported，只需关注你实例化的purify.isSupported即可。
• 只要实例化的purify.isSupported返回true，sanitize操作就能正常执行，不会存在XSS风险。

原因说明 #

在Node.js环境中，DOMPurify必须依赖DOM环境（这里是jsdom提供的window实例）才能正常工作。全局的DOMPurify.isSupported是在未绑定具体DOM环境的情况下做的兼容性判断，找不到可用的DOM接口自然返回false。

而你通过官方示例创建的purify对象，已经绑定了jsdom生成的window实例，它会基于这个具体的DOM环境做兼容性校验，返回true就说明当前环境完全满足DOMPurify的运行要求。

验证方法 #

可以执行一段简单的测试代码确认功能正常：

const dirty = '<script>alert("XSS")</script><p>安全文本</p>';
const clean = purify.sanitize(dirty);
console.log(clean); // 预期输出：<p>安全文本</p>

如果输出符合预期，说明XSS内容已被成功过滤，sanitize功能正常。

内容的提问来源于stack exchange，提问作者IDrumsey