CSP不是XSS替代品，而是限制已存在XSS影响范围的策略层防线；必须配合服务端输出编码、禁用unsafe-inline/eval、合理使用nonce与strict-dynamic才能有效防御。
HTML CSP 本身不是 XSS 防御的替代品
CSP（Content Security Policy）是一道策略层防线，它不解析 HTML、不检测恶意 payload、也不拦截已注入的 <script> 标签内容——它只在浏览器加载资源时做白名单校验。XSS 漏洞如果已经存在（比如服务端未转义用户输入、前端用 innerHTML 拼接不可信数据），CSP 不会修复这个漏洞，只会限制其影响范围。
常见错误现象：Refused to execute inline script because it violates the following Content Security Policy directive 这类报错说明 CSP 生效了，但背后可能仍有未修复的 XSS 注入点。
- 使用场景：CSP 在 XSS 已发生时，可阻止内联脚本执行、禁止 eval、限制外链脚本来源
- 参数差异：
script-src 'self'允许同源脚本，但禁用内联和eval；script-src 'unsafe-inline'直接废掉 CSP 对 XSS 的主要防护能力 - 性能影响极小，但配置错误（如漏配
nonce或hash）会导致合法脚本被拦，页面功能异常
绕过 CSP 的 XSS 仍可能发生
只要服务端存在反射型或存储型 XSS，攻击者就可能构造出绕过 CSP 的利用链。典型路径是：利用 DOM XSS 触发点（如 location.hash、document.write）配合白名单内的可信脚本（如 jQuery、Angular）完成 gadget 链执行。
例如：页面引入了 https://cdn.example.com/jquery-3.6.0.min.js，且 CSP 中 script-src 包含该域名，攻击者就可能通过 jQuery.globalEval() 或 $.getScript() 动态加载恶意代码。
将调研报告、方案对比、数据分析、需求梳理、会议纪要、设计说明、代码评审、学习笔记等任务产物输出为可在浏览器直接打开的单文件 HTML，替代 Markdown 作为最终交付物。Markdown 在信息密度、视觉清晰度和可分享性上已跟不上 AI 产物的丰富度，HTML 能同时承载排版、表格、SVG 等。
立即学习“前端免费学习笔记（深入）”；
- 容易踩的坑：以为加了 CSP 就高枕无忧，忽略对第三方库的版本审计和使用方式约束
- 兼容性注意：
strict-dynamic在旧版 Safari 和部分 Android WebView 中支持不全，单独使用风险高 - 必须配合：对所有动态写入 DOM 的操作（
innerHTML、outerHTML、document.write）做输入过滤 + 输出编码
真正起效的 CSP 配置关键点
一个有效防御 XSS 的 CSP，核心不在“堵得多”，而在“控得准”。重点是切断内联执行路径，并限制动态代码生成能力。
- 必须禁用：
unsafe-inline、unsafe-eval、data:和blob:协议（除非业务强依赖） - 推荐启用：
script-src 'self' 'strict-dynamic' 'nonce-<value>'，并为每个<script>添加匹配的nonce属性 - 别忽略
default-src的兜底作用——它会影响script-src、style-src等未显式声明的指令 - 开发期用
Content-Security-Policy-Report-Only头 +report-uri或report-to收集违规事件，避免上线即崩
服务端输出编码比 CSP 更底层、更关键
CSP 是浏览器端最后一道闸门，而输出编码（如对 HTML 上下文做 转义、对 JavaScript 字符串上下文做 JSON 编码）才是从源头上让 XSS payload 失去语法意义。没有它，CSP 只是在给漏洞“限速”。
典型反例：res.send('<div>' + userInput + '</div>') —— 即使 CSP 完美，只要 userInput 是 <img src=x onerror=alert(1)>，就直接触发 DOM XSS。
- 框架自带编码不等于万无一失：React 的
{userInput}默认 HTML 转义，但dangerouslySetInnerHTML会绕过；Vue 的{{ }}转义，但v-html不转义 - 前后端协作盲区：API 返回 JSON，前端用
JSON.parse()后直接塞进innerHTML，此时 JSON 本身没风险，但拼接环节失控 - CSP 无法覆盖的场景：SVG 中的
onload、CSS 中的expression()（旧 IE）、HTML 注释中的 JS 执行（极少数解析器）——这些都得靠编码兜底
unsafe-inline，而是查清这个脚本为什么非得内联、它的输入源是否可信、有没有更安全的替代写法。 
