Outlook加载项能否为邮件正文HTML内容添加交互功能？

这个问题是Outlook平台的原生安全限制导致的，不是API调用方式错误：
邮件正文区域运行在独立的安全沙盒中，所有通过Office.context.mailbox.item.body系列接口读写的HTML内容，都会被客户端自动过滤<script>标签、内联事件属性（如onclick、onload）、可执行脚本相关标记，你通过getAsync拿到的只是静态HTML字符串，没有任何直接操作正文DOM、绑定原生事件的权限，任何尝试往正文注入脚本的操作都会被拦截。

要实现正文内交互效果不需要直接给DOM绑事件，用平台原生支持的能力就能实现，按复杂度从低到高可选：

• 基于可操作消息实现原生内联交互
  这是官方支持的邮件内交互标准方案，你插入自定义HTML时，按照规范给交互元素加上对应的动作标记，把原来的普通锚点替换为可触发加载项指令的动作节点即可：
  • 已安装你加载项的用户端，会自动把这些节点渲染为可交互按钮，点击时可以直接触发加载项命令、打开指定任务窗格、甚至直接发起接口请求完成操作，全程不需要跳转外部页面
  • 未安装加载项的用户看到的是普通静态内容，不会出现兼容问题
    这个方案不需要你手动绑定任何事件，渲染和交互逻辑由Outlook客户端原生处理，兼容桌面版、网页版、移动端全端Outlook。
• 基于自定义链接激活规则实现复杂交互
  如果你的交互逻辑比可操作消息支持的场景更复杂，可以用链接激活+任务窗格联动的方案：
  1. 往正文插入自定义HTML时，给每个交互按钮/锚点设置统一规则的链接，带上你需要的动作参数，同时加上自定义标记属性方便后续识别
  2. 在加载项清单里注册链接激活规则，用户点击你预设规则的链接时，Outlook会自动激活你的加载项、打开对应任务窗格，同时把链接携带的参数传递给加载项
  3. 任务窗格加载完成后读取传入的动作参数，直接执行对应逻辑即可，全程不需要在正文DOM上绑定事件。

不要尝试通过注入脚本、跨iframe访问DOM等非官方方式实现交互，这类操作违反Outlook加载项的安全规范，会被全端客户端的安全策略拦截，即使在个别版本临时生效，后续客户端更新后也会直接失效，且无法通过微软应用商店的加载项审核。

内容的提问来源于stack exchange，提问作者Niko Mendo