核心是使用原生 DOM API：优先用 querySelector（支持 CSS 选择器）或 getElementById（ID 唯一时更快），注意判空；动态创建用 createElement + appendChild 防 XSS；修改属性区分 HTML 属性与 DOM 属性，样式推荐 classList 或 cssText；操作前确保 DOM 加载完成。
直接操作 HTML 元素的核心是 document 对象提供的原生 DOM API，不是 jQuery 或框架封装——现代浏览器已完全支持，无需额外库。
如何用 querySelector 和 getElementById 安全获取元素
优先用 querySelector（支持 CSS 选择器），但注意它只返回第一个匹配项；getElementById 更快、更明确，适合 ID 唯一场景。
- 如果目标元素可能不存在，务必检查返回值是否为
null，否则调用.innerHTML等会报TypeError: Cannot read property 'xxx' of null -
querySelectorAll返回NodeList（非数组），需用[...nodeList]展开或用forEach遍历，不能直接用map - ID 中含点号、冒号等特殊字符（如
id="user.name"）必须用引号包裹选择器：document.querySelector('#"user.name"')
如何动态创建并插入新元素（避免 innerHTML 拼接）
用 document.createElement + appendChild 组合最安全，可防 XSS，也便于后续绑定事件或修改属性。
const newDiv = document.createElement('div');
newDiv.className = 'alert';
newDiv.textContent = '操作成功';
document.body.appendChild(newDiv);
- 不要用
innerHTML += 'xxx'追加内容——会触发整个父容器的重渲染，且清空已绑定的事件监听器 - 批量插入多个节点时，先用
DocumentFragment缓存再一次性挂载，性能更好 -
insertAdjacentHTML是折中方案：支持位置参数（'beforebegin'/'afterend'等），比innerHTML更可控，但仍有 XSS 风险，需确保内容可信
如何安全删除或替换现有元素
删除元素必须通过其父节点调用 removeChild，或直接用元素自身的 remove() 方法（IE 不支持）。
立即学习“前端免费学习笔记（深入）”；
-
element.remove()最简洁，但若需兼容 IE，得回退到：element.parentNode.removeChild(element) - 替换元素用
parentNode.replaceChild(newNode, oldNode)；注意newNode必须是新创建或已从 DOM 移除的节点，否则会先被移走再插入 - 想“隐藏”而非删除？优先用
element.style.display = 'none'或切 class，避免反复增删带来的 layout thrashing
如何修改元素属性、样式和内容（别混用 setAttribute 和点号赋值）
区分「HTML 属性」和「DOM 属性」：比如 value、checked 应用点号赋值（input.value = 'xxx'），而 data-*、id、class 可用 setAttribute 或对应点属性（el.id / el.className）。
-
class推荐用el.classList.add()/.toggle()，比拼字符串更可靠 -
style修改多个 CSS 属性时，别反复写el.style.xxx，改用el.style.cssText = 'color: red; font-size: 14px;'或添加预设 class -
textContent用于纯文本（防 XSS），innerHTML仅在确认内容安全时使用——哪怕只是插入用户昵称，也应先textContent后再包裹标签
真正容易出问题的不是语法，而是对 DOM 节点生命周期的理解：比如在 remove() 后还试图访问该元素的 parentNode，或在文档未加载完成时就执行 querySelector。把操作包在 DOMContentLoaded 事件里，或者确保脚本放在
