第三方脚本注入是安全失控导致HTML被篡改，修复关键在于阻断注入路径而非提升代码质量；需验证来源、排查CDN污染、实施上下文感知转义及白名单净化。
第三方脚本注入不是代码“写得不好”，而是你的 HTML 被外部力量篡改了——<script src="https://evil.com/bad.js"></script>、<base href="https://attacker.com/"> 这类标签根本不在你源码里，却出现在最终 DOM 中。修复方向不是优化缩进或语义标签，而是阻断注入路径。
怎么确认是第三方脚本注入，而不是本地代码问题
别急着改模板或加 lint 规则，先验证来源是否被污染：
- 用
curl -s https://yoursite.com/ | head -n 50抓原始响应体，搜索<script>、<code><base</script>、<iframe> ——如果这些标签出现在你模板里根本没写的位置，大概率是 CDN 或中间代理层塞进去的</iframe> - 换不同出口 IP 测试：
curl -x http://proxy-ja.example:8080 https://yoursite.com/，若仅部分节点返回异常，问题锁定在 CDN POP 点 - 检查响应头：
ETag是否与源站一致；Content-Length是否明显变大（注入脚本通常增加几百字节） - 临时切走 CDN（改 DNS 或 hosts 指向源站 IP），问题消失即证实是分发环节被劫持
CDN 层最常被利用的配置漏洞
CDN 不是透明管道，它的缓存、重写、边缘计算能力本身就是攻击入口：
-
cache_key包含query_string：攻击者发/index.html?x=%3Cscript%3Ealert(1)%3C/script%3E，CDN 缓存该 URL 对应的恶意响应，后续所有用户访问都中招 - 动态页未设
Cache-Control: private或no-store：登录页、订单页被缓存后注入，危害远超静态资源 - 回源未校验证书或 IP：CDN 回源时若允许 HTTP 或跳过 TLS 验证，中间人可伪造响应并注入
- Edge Function / Workers 中拼接用户输入：比如根据
request.headers.get('X-User')动态插入 DOM 片段，却没调用he.escape()或等效转义
服务端输出前必须做的 HTML 上下文感知转义
第三方脚本能注入成功，往往因为你的服务端输出逻辑本身存在属性注入漏洞——比如把用户输入直接拼进 input value="xxx" 或 div class="xxx"，给攻击者提供闭合引号、注入事件处理器的机会：
立即学习“前端免费学习笔记（深入）”；
- 在 HTML 元素内容中（如
<div>{user_input}</div>）：需转义<、>、&、"、'五个字符；Python 用html.escape(input, quote=True)，PHP 用htmlspecialchars($input, ENT_QUOTES, 'UTF-8') - 在 HTML 属性中（如
<input value="{user_input}">）：除上述五字符，还必须确保引号被正确包裹（双引号属性值里转义"，单引号里转义'） - 在 JavaScript 字符串上下文（如
const msg = "${userInput}";）：必须用JSON.stringify()包裹，防止引号逃逸和语句中断 - 模板引擎默认不转义（如 EJS 的
<%= value %>、Jinja 的{{ value }}）是高危开关，显式关闭转义（<%- value %>或{{ value | safe }}）等于主动放行
CSP 是最后一道闸，但不能替代编码层防护
Content-Security-Policy 头无法修复漏洞本身，但它能大幅限制攻击载荷的破坏力。即使 innerHTML 漏洞存在，CSP 也能阻止 fetch() 外发、禁止内联脚本执行：
- 必须禁用
'unsafe-inline'和'unsafe-eval'——它们会让onclick、eval()绕过全部防护 - 用
'self'限定脚本只从同源加载；如需 CDN，只写可信域名，如script-src 'self' https://cdn.example.com - 补充关键指令：
object-src 'none'（禁 Flash）、base-uri 'self'（防<base>劫持）、form-action 'self'（防表单提交到第三方） - 若业务真需内联脚本（如统计代码），用
nonce机制：服务端生成唯一随机值（如nonce-AbCdEf123），在响应头中声明script-src 'self' 'nonce-AbCdEf123'，并在对应<script nonce="AbCdEf123">标签中写入
真正容易被忽略的是：服务端模板转义必须匹配输出上下文，同一段用户输入，在 HTML 标签体、属性值、JS 字符串、CSS 中，转义规则完全不同；而 CDN 层的缓存策略和边缘逻辑，常常比应用代码更难审计、更易出错。
