控制点
渲染隔离
HTML 组件默认渲染在沙箱 iframe 中，而不是直接注入到宿主 DOM，因此风险边界更明确。
安全
安全不是装饰，而是产品架构的一部分。
StreamCanvas 把安全视为生成式界面的底层约束问题。渲染边界、宿主动作边界和部署边界都必须显式存在，团队才能真正评估风险。
控制点
类型化组件模式
React 组件模式会先校验 props Schema，降低任意或畸形数据进入应用代码的概率。
控制点
可信动作路径
用户动作通过注册的客户端工具回到宿主应用，而不是让生成内容直接执行宿主脚本。
控制点
运维隔离
推荐部署方式是应用只绑定 localhost，再通过 nginx 暴露公网入口，避免破坏现有服务边界。
默认姿态
先用保守模型起步，再按需放宽。
默认配置刻意偏保守：沙箱组件、显式客户端工具、自托管部署与反向代理暴露边界。团队可以在真正理解风险之后再放宽策略，而不是先把边界取消掉。