企业官网建设流程全解析

前端安全防护的核对清单

前端安全依赖分层防护。没有任何单一配置能替代输出编码、权限校验和依赖更新。

把不可信内容当作数据

默认使用框架的转义能力；确需渲染 HTML 时，先在服务端或可信的客户端库中进行白名单过滤。避免把用户输入直接赋给innerHTML。

CSP 起点

Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none'; base-uri 'self'

CSP 需要结合现有资源来源逐步收紧，并通过 report-only 模式观察影响。CSRF 防护还应由服务端校验请求来源和令牌。

验证建议

对富文本、URL 跳转、上传文件和第三方脚本做针对性测试；在 CI 中运行现有依赖审计，并按项目风险流程处理告警。