innerHTML 会直接将内容作为HTML解析并插入到页面中，如果内容来自用户输入或外部来源，可能会引入恶意脚本，导致XSS攻击。