JavaScript安全需防范XSS、CSRF、依赖漏洞和DOM型攻击。1. XSS防御包括输入过滤、输出编码与CSP策略；2. CSRF防护采用Anti-CSRF Token、SameSite Cookie及Referer验证；3. 依赖安全依赖定期审计、最小化引入与版本锁定；4. DOM操作应避免innerHTML与eval()，使用沙箱隔离不可信内容。全链条防护是关键。
JavaScript作为前端开发的核心语言，广泛应用于各类Web应用中。然而，由于其运行在客户端且代码公开，容易成为攻击者的目标。常见的安全漏洞包括跨站脚本（XSS）、跨站请求伪造（CSRF）、不安全的依赖包、DOM型漏洞等。有效识别并防御这些风险，是保障Web应用安全的关键。
跨站脚本攻击（XSS）与防御
XSS是最常见的JavaScript安全漏洞之一，攻击者通过注入恶意脚本，在用户浏览器中执行非授权操作。根据注入方式可分为存储型、反射型和DOM型XSS。
防御措施包括：
- 输入验证与过滤：对所有用户输入进行白名单校验，拒绝包含脚本标签或特殊字符的内容。
- 输出编码：在将数据插入HTML、URL或JavaScript上下文前，使用适当的编码方式（如HTML实体编码）防止脚本执行。
- 内容安全策略（CSP）：通过设置HTTP头Content-Security-Policy，限制页面只能加载指定来源的脚本，有效阻止内联脚本运行。
跨站请求伪造（CSRF）防护机制
CSRF利用用户已登录的身份，诱导其浏览器向目标网站发送非自愿请求，例如修改密码或转账。
立即学习“Java免费学习笔记（深入）”；
主要防御手段有：
- 使用Anti-CSRF Token：服务器生成一次性令牌，嵌入表单或请求头中，每次提交时校验有效性。
- SameSite Cookie属性：设置Cookie的SameSite为Strict或Lax，防止跨域请求携带认证信息。
- 验证Referer头：检查请求来源是否属于可信域名，但需注意隐私设置可能影响该字段可用性。
第三方依赖与供应链安全
现代JavaScript项目大量使用npm包，但部分库可能存在漏洞或被恶意篡改。
建议采取以下措施降低风险：
- 定期更新依赖：使用npm audit或Snyk等工具检测已知漏洞，并及时升级。
- 最小化引入外部库：仅安装必要组件，避免引入功能重叠或维护不活跃的包。
- 锁定版本号：在package-lock.json中固定依赖版本，防止自动拉取存在风险的新版本。
DOM操作安全与沙箱隔离
直接操作DOM可能引发DOM-based XSS，尤其是在动态插入HTML或使用eval()时。
应遵循的安全实践包括：
- 避免innerHTML：优先使用textContent或createElement等方式插入内容，防止脚本解析。
- 禁用eval()与new Function()：这类动态执行代码的方法极易被滥用，应改用结构化逻辑替代。
- 使用沙箱环境：对不可信内容（如用户生成富文本），可在iframe中配合sandbox属性隔离执行环境。
基本上就这些。JavaScript安全需要从编码习惯、架构设计到运维监控多层面协同防控。保持警惕、持续更新防护策略，才能有效应对不断演变的攻击手法。
