CSPvsXSS

CSP

CSP 通过 HTTP 响应头告诉浏览器只允许加载指定来源的脚本、样式、图片等资源，是防御 XSS 攻击的重要手段。

XSS

XSS 让攻击者在受害者的浏览器中执行恶意 JavaScript，可以窃取 Cookie、劫持会话、篡改页面内容。OWASP Top 10 常客，至今仍是最常见的 Web 漏洞之一。

CSP

• 通过 HTTP 头限制资源加载来源
• 防御 XSS 的重要安全层
• 配置复杂但效果显著

XSS

• 分为反射型、存储型和 DOM 型三种
• CSP 和输出编码是主要防御手段
• 即使在 2025 年仍是 Bug Bounty 最常见的漏洞类型

CSP

通过 HTTP 响应头限制网页可加载资源来源的浏览器安全机制

XSS

通过在 Web 应用中注入恶意客户端脚本来攻击其他用户的安全漏洞

CSP

• XSS 攻击的纵深防御
• 第三方脚本的加载控制
• 安全违规行为的监控和报告

XSS

• Web 应用安全评估
• Bug Bounty 漏洞挖掘
• 安全开发培训

CSP

CSP 通过 Content-Security-Policy 头定义策略，如 script-src 'self' 只允许加载同源脚本。CSP 可以阻止内联脚本执行、限制外部资源加载、报告违规行为。常见指令：default-src、script-src、style-src、img-src、report-uri。CSP 的挑战在于配置复杂，过严会破坏功能，过松则形同虚设。建议从 report-only 模式开始逐步收紧。

XSS

XSS 攻击通过在 Web 应用中注入恶意脚本代码，当其他用户访问受影响页面时脚本在其浏览器中执行。存储型 XSS 最危险（恶意代码持久化在服务器），反射型最常见（通过 URL 参数注入），DOM 型最隐蔽（纯客户端触发）。防御需要多层策略：输入验证、输出编码、CSP 头、HttpOnly Cookie。现代前端框架（React、Vue）默认转义输出，大幅降低了 XSS 风险，但自定义渲染和 dangerouslySetInnerHTML 仍是常见突破口。