# 03 — 自包含包的门禁必须是会失败的检查

Status: resolved
Type: task

## 问题

"自包含"是自包含包的全部意义，不能靠"我记得内联了"。需要在 `check:dist` 里对每个 `sim/index.html` 断言没有外部依赖。

## 答案

三项断言：没有 `<script type="module">`、标签上没有 `http(s)://`、没有 `file:///` 与根绝对路径。

**两个必须处理的细节**：

1. **扫描前剥掉内联脚本的内容。** spine-player 是整份内联的，内部带着编辑器示例模板，含 `<script src="https://…">` 字符串；直接扫整页会把它们当依赖，四个分发全报假阳性。

2. **剥除时只删标签之间的内容，保留开标签本身。** 第一版写成整体替换，把开标签一起删了，于是所有 `<script src=…>` 都不再被检查——门禁看着在跑，实际只查得到 `<link>`。

## 验证

`tools/checks/test-sim-gate.mts` 往页面注入四种外部依赖（外链 script、`file:///`、根绝对路径、`type=module`），确认每种都被拦下，且干净页面通过。

第 2 个细节就是这个测试发现的：**一个从不失败的检查等于没有检查**，所以门禁本身要有测试。

## 附带：内联脚本的 `</script` 守卫

同一类问题还有一处：内联脚本体里若出现 `</script`，会**提前终止** script 元素，后面的代码变成页面文本。当前所有被内联的源码都不含这个串，但这是个沉默的陷阱，所以 `buildSimPage` 加了一道构建期断言（`tools/checks/test-inline-guard.mts` 验证它有效）。

**守卫自身也要测，而且第一版就写错了**：它把 driver 也一起查了，而 driver 本来就是一个完整的 `<script>…</script>` 块、收尾标签是它自己的，于是干净源码立刻构建失败。守卫只查纯 JS 体（spine-player、模拟器段、运行时段）。