Browser trampoline → public hosted parent → CCM XSS

固定无害 canary：只输出 console.log("xss success")、显示 Origin，并回传协议元数据。