IE增强安全配置启用时，动态DOM的onclick事件无法触发求助

这问题我之前帮不少企业用户排查过——IE增强安全配置（ESC）对动态注入的内联脚本限制得特别死，哪怕你把站点加到本地intranet、调低安全级别，直接写在标签里的onclick属性还是容易被当作风险代码拦截掉。

核心原因 #

IE ESC的安全策略会把动态插入DOM的内联事件属性（比如你的onclick="javascript:View.SubmitForm()"）判定为不可信内容，直接屏蔽执行。这和信任区域的安全级别设置不完全挂钩，属于ESC的额外防护机制。

可行的解决方案 #

1. 替换内联onclick为JS事件绑定

不要在HTML字符串里写onclick，而是通过JS创建元素并绑定事件，这种方式能避开ESC的内联脚本拦截：

// 放弃innerHTML注入带onclick的HTML，改成手动创建元素
const updateBtn = document.createElement('a');
updateBtn.className = 'ui-btn ui-btn-active';
updateBtn.href = '#';
updateBtn.textContent = 'Update';

// 绑定点击事件（兼容老IE）
if (updateBtn.addEventListener) {
  updateBtn.addEventListener('click', function(e) {
    e.preventDefault(); // 阻止默认跳转行为
    View.SubmitForm();
  });
} else {
  // 适配IE8及更早版本
  updateBtn.attachEvent('onclick', function(e) {
    e = e || window.event;
    e.returnValue = false; // 阻止默认跳转
    View.SubmitForm();
  });
}

// 将元素添加到目标容器
document.getElementById('your-target-container').appendChild(updateBtn);

2. 使用事件委托（适合批量动态元素）

如果需要动态添加大量类似按钮，或者没法直接给单个元素绑定事件，可以在父容器上绑定事件，利用事件冒泡来处理：

// 假设父容器是页面加载时就存在的#form-container
const parentContainer = document.getElementById('form-container');

if (parentContainer.addEventListener) {
  parentContainer.addEventListener('click', function(e) {
    const target = e.target;
    // 通过类名识别目标按钮
    if (target.classList.contains('ui-btn-active')) {
      e.preventDefault();
      View.SubmitForm();
    }
  });
} else {
  parentContainer.attachEvent('onclick', function(e) {
    e = e || window.event;
    const target = e.srcElement;
    // 老IE里用className.indexOf判断
    if (target.className.indexOf('ui-btn-active') !== -1) {
      e.returnValue = false;
      View.SubmitForm();
    }
  });
}

3. 额外注意事项

• 确保View.SubmitForm()函数处于全局作用域（或者在事件触发时能被访问到），ESC可能会限制跨作用域的函数调用。
• 如果你必须保留innerHTML注入的方式，尝试把脚本代码移到外部JS文件中，绝对不要写在标签属性里——但这种方式还是不如事件绑定可靠。

内容的提问来源于stack exchange，提问作者Kman