Popover API 的 show 方法不触发 HTML 内容渲染，因安全限制不执行脚本或绑定事件；需手动创建 DOM 节点并挂载事件，或使用 data-bs-html="true" 配合事件委托与 DOMPurify 防 XSS。
Popover API 的
方法不触发 HTML 内容渲染？
直接调用
时，如果传入的是纯 HTML 字符串（比如
），浏览器默认不会执行其中的脚本、也不会绑定事件监听器——这是安全限制，不是 bug。
Popover 的
或
参数只接受字符串或 DOM 节点，不自动执行内联
showpopover.show()""contenttitle