Trusted Types 不能彻底重构字符串拼接逻辑，但能强制将所有高危 DOM 写入点（如 innerHTML、eval、location.href）从原始字符串切换为 TrustedHTML/TrustedScriptURL 等类型受控对象；前提是服务端正确配置 CSP 响应头（trusted-types + require-trusted-types-for 'script'），全覆盖 sink，按场景定义最小权限策略，且前端调用必须经策略包装。
Trusted Types 不能“彻底重构”字符串拼接逻辑，但它能强制将所有高危 DOM 写入点从原始字符串切换为类型受控对象（如 TrustedHTML、TrustedScriptURL），前提是 CSP 策略已正确启用、sink 全覆盖、策略按场景最小化定义。这不是加个 JS 补丁就能过审的技巧，而是浏览器级执行拦截机制。
必须配对 CSP 响应头才能生效
仅前端注册策略无任何防护效果。服务端必须返回以下 HTTP 头（<meta> 不支持关键指令）：
Content-Security-Policy: trusted-types securePolicy default; require-trusted-types-for 'script'; default-src 'self'; script-src 'self'-
trusted-types后列出所有实际使用的策略名，如securePolicy和default；漏写会导致浏览器回退到宽松模式 -
require-trusted-types-for 'script'是强制开关，不启用则所有 sink（innerHTML、eval、setTimeout(字符串)等）仍可接收任意字符串 - 开发阶段可用
Content-Security-Policy-Report-Only先收集违规日志，避免上线即崩溃
识别并替换全部高危 sink 调用点
审计工具会静态扫描 + 动态 hook 所有潜在入口。不能只改 innerHTML，以下同样必须重写：
-
el.insertAdjacentHTML('beforeend', unsafe)→ 改用el.setHTML(policy.createHTML(...)) -
document.write()、document.writeln()→ 已淘汰，应替换为 DOM 操作或策略包装 -
location.href = 'javascript:...'→ 必须经policy.createScriptURL()包装 -
setTimeout('alert(1)', 100)、setInterval('...', 100)→ 改为函数形式，或用policy.createScript() -
el.setAttribute('onclick', '...')→ 禁用，改用el.onclick = handler或addEventListener
按用途建最小权限策略，禁用万能构造器
策略不是过滤器，而是可信内容的出口闸门。拒绝 createPolicy('default', { createHTML: s => s }) 这类弱策略——它等于没开，审计直接标红：
- 用户评论渲染：
trustedTypes.createPolicy("comment-html", { createHTML: s => DOMPurify.sanitize(s) }) - 内部组件模板（已知安全字面量）：
trustedTypes.createPolicy("template-html", { createHTML: s => s }) - iframe
srcdoc：trustedTypes.createPolicy("srcdoc-html", { createHTML: s => s.replace(/<script>，但更推荐结构化生成</script> - CSS 注入：
createCSS: (size) => `font-size: ${Math.max(12, Math.min(24, parseInt(size)))}px`，禁止接收原始字符串
适配框架与第三方库
React、Vue、Lit 等现代框架默认不兼容 Trusted Types，需主动封装或升级：
- React：禁用
dangerouslySetInnerHTML，改用自定义 Hook 封装策略调用 - Vue：v-html 指令需配合策略包装，或使用
v-safe-html自定义指令 - Lit：注册
lit-html策略，确保html``模板输出被自动包装为TrustedHTML - 第三方富文本编辑器（如 Quill、Tiptap）：检查其
innerHTML写入路径，注入策略 wrapper 或替换为textContent渲染
