漏洞成因是预览 HTML 的三层防护（CSP、data: URL 隔离、开发服务器代理过滤）覆盖不全：小于 256KB 的文件走 data: URL 加载并受 CSP 保护，超过 256KB 的文件被写入临时文件并以 file:// 协议加载，该路径既无 CSP 也无请求过滤。