最常见入口是明文传输：若HTML或关键资源（如登录表单、JS脚本）走HTTP，攻击者可篡改或窃听；需检查Network面板中http://请求、HTML硬编码HTTP链接、HSTS响应头（max-age≥31536000）、Mixed Content控制台报错、动态拼接URL、CSP宽松配置、第三方CDN证书及TLS安全性、script标签integrity属性缺失等。
检查页面是否强制使用HTTPS且禁用HTTP回退
中间人攻击（MITM）最常见入口就是明文传输。如果HTML页面本身通过HTTP加载，或关键资源（如登录表单、JS脚本）走HTTP，攻击者就能在链路中篡改或窃听。
实操建议：
立即学习“前端免费学习笔记（深入）”；
- 打开浏览器开发者工具的
Network面板，刷新页面，观察所有请求的协议：只要出现http://开头的script、iframe、form action或fetch()目标地址，就存在降级风险 - 检查HTML源码中是否有硬编码的HTTP链接，例如：
<script src="http://cdn.example.com/jquery.js"></script> - 确认响应头是否包含
Strict-Transport-Security（HSTS），且max-age值足够大（建议 ≥ 31536000），否则浏览器不会自动拒绝HTTP访问
验证混合内容（Mixed Content）是否被浏览器阻断
现代浏览器会主动阻止主动型混合内容（如HTTP脚本、CSS、XHR），但对被动型（如HTTP图片、音频）可能仅警告。这些未被拦截的HTTP资源仍可能被劫持用于重定向或注入恶意JS。
实操建议：
立即学习“前端免费学习笔记（深入）”；
- 在Chrome中打开页面后，点击地址栏左侧的锁形图标 → “连接是安全的” → 查看“不安全的内容”是否显示为“已屏蔽”或“已加载”
- 在
Console面板中搜索关键词：Mixed Content，若出现类似Mixed Content: The page at 'https://...' was loaded over HTTPS, but requested an insecure script 'http://...'的警告，说明存在可利用路径 - 特别注意动态拼接的URL，例如 JS 中的
fetch("http://" + domain + "/api/login")—— 这类代码无法被HSTS覆盖，且静态扫描容易遗漏
排查内联脚本与eval类执行是否绕过CSP
即使页面启用了HTTPS和HSTS，若内容安全策略（CSP）配置宽松（比如允许 'unsafe-inline' 或 'unsafe-eval'），攻击者仍可能通过注入HTML或劫持响应，在页面上下文中直接执行任意JS，完成会话窃取或键盘记录。
实操建议：
立即学习“前端免费学习笔记（深入）”；
- 检查响应头中的
Content-Security-Policy字段，重点关注：script-src是否包含'unsafe-inline'、'unsafe-eval'或宽泛域名（如*.cdn.com） - 搜索HTML源码中是否存在内联事件处理器，例如：
<button onclick="doLogin()">或<script>alert(1)</script>—— 这些都会被CSP'unsafe-inline'放行，但也是MITM最易利用的执行点 - 若使用了nonce或hash机制，确认每个
<script>标签都正确携带了匹配的nonce-xxx属性，且服务端未缓存错误的nonce值
识别第三方资源是否构成信任链断裂点
一个HTTPS页面引入了CDN上的jQuery，而该CDN本身未启用HSTS、证书过期或支持弱加密套件，那么攻击者可针对该CDN发起单独的MITM，再通过它污染整个页面行为。
实操建议：
立即学习“前端免费学习笔记（深入）”；
- 在
Network面板中逐个查看第三方域名（如cdn.jsdelivr.net、unpkg.com）的连接详情：点击请求 → “Security”标签页 → 检查证书有效性、协商的TLS版本（应为 TLSv1.2+）、密钥交换算法（避免rsa-export等已弃用类型） - 用
curl -I https://cdn.example.com/lib.js验证其响应头是否返回Strict-Transport-Security；没有的话，该CDN本身就是潜在跳板 - 避免使用未锁定子资源完整性的
<script>标签，必须加上integrity和crossorigin属性，例如：<script src="https://cdn.example.com/react@18.js" integrity="sha384-..." crossorigin="anonymous"></script>
