Web 安全防护需要从编码、配置与监控三层入手。

核心概念

• XSS 分为反射型、存储型、DOM 型。
• CSP、SRI、Trusted Types 为前端提供防护手段。
• 依赖供应链攻击需通过审计与锁定版本防范。

实战步骤

• 对用户输入进行白名单校验与转义。
• 配置严格的 CSP 并监控 violation 报告。
• 使用 DOMPurify 清理富文本内容。

进阶建议