将HTML作为字符串传递并绕过安全性是一个潜在的安全风险，因为它可能导致跨站脚本攻击（XSS）和其他安全漏洞。为了确保安全性，应该遵循以下最佳实践：

1. 输入验证和过滤：在接受HTML字符串之前，对输入进行验证和过滤，以确保只允许安全的内容。可以使用HTML解析器或安全过滤器来检查和删除潜在的恶意代码。
2. 转义特殊字符：在将HTML字符串传递给其他组件或输出到页面时，应该对特殊字符进行转义，以防止它们被解释为HTML标记或脚本。可以使用编码函数（如htmlspecialchars）来转义特殊字符。
3. 使用内容安全策略（CSP）：CSP是一种安全机制，可以限制页面中可以加载和执行的资源。通过配置CSP，可以防止执行内联脚本和其他不受信任的资源，从而减少XSS攻击的风险。
4. 最小化权限：在处理HTML字符串时，确保使用最小权限原则。只授予必要的权限和访问级别，以减少潜在的攻击面。
5. 定期更新和维护：HTML字符串的安全性是一个持续的过程。定期更新和维护相关的安全库和组件，以确保及时修复已知的漏洞和安全问题。

总之，将HTML作为字符串传递时，必须采取适当的安全措施来验证、过滤和转义输入，使用内容安全策略，并最小化权限。这样可以减少潜在的安全风险，并确保应用程序的安全性。