Word 转 HTML，在你的标签页里搭好，放进 sandbox 里看

.docx 是一包 XML 压缩文件。这个工具把它解开、把结构重新搭成 HTML，全程都在页面脚本里 —— 就是你打开页面时到手的那段代码，从那以后它只在本地干活。

背后没有服务器等着接文件。这个站就是一堆静态资源，所以就算代码想发，也没有一个能把文档发过去的地址。

生成的 HTML 渲染在一个受限的 sandbox iframe 里。那个框能把标记画出来，但被挡着不许跑脚本、不许拉远程字体、不许发请求 —— 所以就算标记里恰好带了点会动的东西，它也动不了。

sandbox 守的是预览，它跟文件的隐私不是一回事。但正因为有它，你才能预览一份不是你自己写的文档，而这次预览本身不会变成一道通往网络的门。

你能读懂的标记，才是你敢担保的标记 —— 这跟一个服务把改好的文件递给你、而你从没打开过，是两种不一样的信任。

让文件不上线是那个有分量的承诺，但不是唯一要紧的。HTML 一旦发去了一个仓库、一个 CMS、或者粘进了一封邮件，它能到多远，就看那地方是什么了。

而且浏览器终归是浏览器：一个在读这个页面的扩展，或者已经在这台电脑上的什么东西，无论如何都看得见这份文档。没了的是最大那块暴露 —— 一份副本躺在转换器的服务器上。其余的没变。