把 HTML 粘贴到正在运行的 WordPress 站点里，本质上是一种信任——尤其当这段 HTML 来自模板、AI 或别人的页面时。最安全的做法不是小心翼翼，而是在任何内容进入编辑器之前，就清楚地知道哪些东西会被移除。下面就是这份清单，以及覆盖其余风险的做法。
在你粘贴之前就被剥离的内容
转换完全在你的浏览器中进行，输出的是 Elementor 数据——而不是原始标记。在这个过程中，以下内容会被移除或失效：
- 所有 script 标签。源页面里的 JavaScript 一行都不会留下，没有例外。任何交互功能到你手里都是静态标记，需要你用 Elementor 自己的小部件重新搭建。
- 所有内联事件处理器。像
onclick和onmouseover这样的属性会从每个元素上逐个剥离——这正是脚本混进“没有 script 标签”的标记里的经典手法。 - 表单的提交地址。表单的
action和method会被移除。可见的字段会保留，但粘贴进来的表单绝不可能悄悄把访客的数据提交给原页面的作者。 - 来历不明的嵌入内容。
object、embed和applet标签会被拦截。iframe 只允许来自四个主机——YouTube、它的 nocookie 版本，以及 Vimeo 播放器——并会变成视频小部件；其他 iframe 都不会作为可运行的框架带过来。srcdoc属性能把一整份文档藏在 iframe 标签里，它同样会被移除。 - 危险的链接目标和有风险的 CSS。链接目标和样式声明会经过清理，而不是原样复制。
所有被移除的内容都会列在结果页面的安全报告里，所以这不是暗中执行的规则——在粘贴之前，你可以看到自己这个页面具体被拿掉了什么。
为什么 CSS 不会泄漏到你的主题里
粘贴带样式的 HTML，更隐蔽的风险不是恶意，而是冲突：源页面的样式表里写着 body { font-family: … } 或 h2 { color: … }，这些规则会把你整个网站的样式都改掉。
带过来的样式会被限定作用域来防止这种情况。导入的 CSS 中每个选择器都会被改写，让它只在导入的内容内部生效——而针对 html、body 或 :root 的选择器会被重新指向导入的区块本身，而不是任由它们作用到你的页面。导入的区块保持原有外观；你的主题永远不会碰到这些规则。
出于同样的考虑，position: fixed 在转换时会被降级为 absolute：否则，别人页面上的固定定位元素会悬浮在你整个网站之上，出现在每一个使用该模板的页面上。
“安全”不代表什么
有两条必须说清楚的边界。第一，工具无法替你审查内容——如果 HTML 里包含你无权使用的文字、图片或链接，转换并不会改变这一点。第二，剥离针对的是什么会被执行、数据会流向哪里；它不会审查页面说了什么。粘贴之前，请读一遍内容。
粘贴前的最佳做法
- 先转换，绝不直接粘贴原始代码。危险的做法是把第三方标记原封不动地粘进 HTML 小部件——这条路完全没有剥离，源页面里有什么就带进来什么。转换成原生小部件，本身就是那层安全防护。
- 在结果页面上阅读安全报告。如果它列出了四个被剥离的脚本和一个被清理的表单，你就知道需要重建哪些行为——也知道原页面当时在做什么。
- 先粘贴到草稿里。不是因为转换有风险，而是因为布局检查应该在没有人访问的页面上进行。
- 有意识地重新连接表单。提交地址是特意移除的；把 Elementor 表单小部件接到你自己的提交动作上，而不是去找回原来的目的地。
- 无论如何都要备份。这是适用于任何工具、任何类型导入的通用建议。
而且你自己的 HTML 从不离开浏览器
安全是双向的。你转换的页面是在本地解析、渲染和转换的——你的 HTML 和图片不会上传到本站或其他任何地方，没有账户可供泄露，也不会接触到你的 WordPress 凭据。工具只负责生成数据；这些数据怎么用，由你在自己的编辑器里决定。
一段话说清最安全的方法
使用原生组件模式进行转换，而不是把原始 HTML 粘贴到小部件里。阅读安全报告。先粘贴到草稿，用 Elementor 自己的小部件重建交互部分，把表单重新接到你的站点，等它在三个断点下都显示正常后再发布。这就是全部方法——上面的剥离处理了你看不见的部分，这份清单处理了你看得见的部分。