XSS 与内容安全策略（CSP）

XSS 类型

• 反射/存储/DOM 型

防护

• 输出转义、CSP(nonce/hash/白名单)、SRI、依赖审计

实战

• 框架层 sanitizer、第三方脚本隔离、模板注入风险清单