前端安全检查跨站脚本、跨站请求伪造与内容安全策略前端安全关注的是持续缩小不可信输入的影响范围。1. 先明确问题边界模板默认转义不能覆盖 innerHTML、富文本和动态 URL。CSRF 需要服务端校验配合CSP 可先以 Report-Only 收集问题再逐步收紧。2. 一个最小实现片段Content-Security-Policy: default-src self; object-src none3. 如何验证4. 常见遗漏5. 小结