Trusted Types 通过强制类型检查在运行时拦截非法字符串执行，而非审计逻辑；需重构执行模型、切断危险入口，并让动态执行路径显式受控。
Trusted Types 本身不执行代码注入，也不“审计”逻辑——它通过强制类型检查，在运行时拦截非法字符串执行行为。要消除旧项目中 eval 类逻辑并建立可审计的安全边界，关键不是替换一个函数，而是重构执行模型、切断危险入口，并让所有动态执行路径显式受控。
第一步：识别并标记所有 eval 类危险调用点
先不做修改，用自动化+人工方式定位全部风险源：
- 全局搜索
eval(、new Function(、setTimeout(.*?,\s*['"]([^'"]+)['"]\s*\)、setInterval(.*?,\s*['"]([^'"]+)['"]\s*\)等模式 - 检查第三方库是否内部使用（如旧版模板引擎、JSONP 回调处理器、低版本 lodash.template）
- 特别注意间接调用：比如
location.href = 'javascript:...'或iframe.src = 'data:text/html,...'，这些同样被require-trusted-types-for 'script'拦截
第二步：用 Trusted Types 强制暴露问题，而非掩盖
在项目最顶部同步加载策略脚本，并配置 CSP 头启用强制模式。此时所有未走策略的 eval 调用会直接抛出 TypeError，前端立即白屏或报错——这是你想要的效果：
- HTTP 响应头必须包含：
Content-Security-Policy: require-trusted-types-for 'script'; trusted-types default; - JS 策略注册写在
<head>内首个<script>，且不用async，确保早于任何业务代码执行 - 策略名必须为
default，否则浏览器找不到回退策略，trustedTypes.emptyScript()等基础能力会失效
第三步：分场景替换 eval 逻辑，拒绝“策略内执行”
常见遗留模式及安全替代方案：
-
配置驱动的简单表达式计算（如
eval('a + b')）→ 改用Function构造器配合白名单参数，或引入expr-eval等沙箱解析器，结果仅用于数据，不拼接进 DOM 或执行上下文 -
动态模块加载/代码拼接（如拼字符串后
eval）→ 改用import()动态导入已打包的 ES 模块，或预编译为函数对象后缓存调用 -
模板渲染中的 JS 表达式（如
{{ user.name.toUpperCase() }}）→ 迁移到支持 TrustedHTML 输出的模板引擎（如 Lit、SolidJS），或用 DOMPurify 预净化后交由策略包装：policy.createHTML(DOMPurify.sanitize(userInput)) -
绝对禁止在策略函数里调用
eval、new Function或拼接字符串后返回——这等于把信任委托给不可控逻辑，策略形同虚设
第四步：建立可审计的执行链路
真正实现“可审计”，靠的是约束而非日志：
- 所有允许的动态执行，必须明确经过命名策略，例如：
const scriptPolicy = trustedTypes.createPolicy('dynamic-script', { createScript: s => s }); - 业务代码中只允许出现
scriptPolicy.createScript(...)，禁止直接字符串赋值；CI 流程可加 ESLint 规则检测eval\(和未包装的字符串传入 sink - 搭配 CSP Report-Only 模式收集历史违规：
Content-Security-Policy-Report-Only: require-trusted-types-for 'script'; report-to /csp-violation，确认无遗漏 sink 后再切 Enforcement
不复杂但容易忽略：Trusted Types 的防护效果完全取决于 CSP 指令是否生效、策略是否提前注册、以及是否覆盖全部 sink。它不会帮你改代码，但会让每一处未受控的 eval 立刻失败——这种“失败即发现”，才是旧项目安全演进最可靠的起点。
