有效防范恶意第三方动态注入<script>标签需三层协同：服务端用CSP封堵注入路径（script-src 'self'、禁用unsafe值、SRI校验、Trusted Types），客户端用MutationObserver精准监控敏感区域script插入并实时过滤，前端通过禁用危险API、DOMPurify净化、快照校验及浏览器扩展加固执行环境。
防范恶意第三方通过动态注入 <script> 标签篡改网页 DOM，核心思路是“阻断注入路径 + 监控异常变更 + 限制执行能力”，不能只靠单一手段。真正有效的防线由三层协同构成：服务端策略强制约束、客户端运行时监控响应、前端开发习惯兜底。
用 CSP 从源头封死 script 注入渠道
CSP 是第一道也是最关键的防线，但它必须正确配置才有效：
- 响应头中明确设置
script-src 'self' https://cdn.yoursite.com，禁止通配符*和不安全值如'unsafe-inline'、'unsafe-eval' - 绝对禁用
data:、javascript:协议，防止通过链接或属性触发执行 - 为所有外链脚本添加
integrity属性（SRI），例如：<script src="https://cdn.example.com/lib.js" integrity="sha384-..." crossorigin="anonymous"></script>，确保脚本内容未被 CDN 或中间节点篡改 - 启用
require-trusted-types-for 'script'，配合 Trusted Types 策略，让后续 DOM 写入（如innerHTML）无法直接拼接不受信字符串
用 MutationObserver 精准捕获非法 script 插入
即使 CSP 生效，某些合法域名下的脚本仍可能被污染或滥用。MutationObserver 不是用来“阻止”，而是用来“发现+干预”：
- 不要监听
document.body全局，而是聚焦敏感容器，如#pay-section、#login-form、.chat-widget - 观察选项只开必要项：
childList: true+subtree: true，用于捕获深层插入的<script>或广告 div；禁用attributeOldValue等冗余选项减小开销 - 回调中立即过滤：
mutation.addedNodes里检查是否含script[src*="untrusted"]、script[nonce]缺失、或内联<script>alert(...)</script>，匹配即移除并告警
运行时加固与行为收敛
前端代码本身要减少被利用的入口点：
- 禁用
document.write()、eval()、setTimeout(string)、setInterval(string)等动态执行方式 - 所有用户输入渲染到页面前，优先用
textContent；若必须用innerHTML，先经 DOMPurify 等库净化，再交由 Trusted Types 包装 - 对关键区域（如支付按钮、金额显示）加 DOM 快照校验：页面加载后记录初始结构哈希，定时比对，发现差异立刻触发还原或上报
- 浏览器侧可配合 uBlock Origin 或自定义扩展规则，拦截已知恶意域名的 script 请求，或注入脚本冻结
document.createElement('script')的调用
