隔离、命名空间、沙箱外部HTML和CSS

我们的webapp显示最终用户上传的不受信任的html。目前，我们在iframe中显示html，这很好地将html与站点的其余部分隔离开来。html中包含的任何css都不能破坏iframe之外的任何内容

不幸的是，当我们尝试迁移到一个移动友好的站点时，iFrame正在引发问题。我们无法让移动触摸事件处理程序在iframe中正常运行

此应用程序是否有iFrame的替代方案？我们希望将html加载到一个普通的

，但是

和

标记在一个div中并不是真正有效的，我们必须玩一些游戏才能让css工作。然后我们必须防止css影响站点上的任何其他内容

---

我们可以尝试清理html，但我们确实需要允许最终用户将自己的任意css应用于html。应用程序的性质需要它。

内联JS和脚本标记如何？你也允许吗？可能不会，因此你必须消毒。