跳转到主要内容

首页留言板登录

Bithu咖啡馆

关于技术、代码和一切之间的事情。

页面

关于留言板标签

订阅

Next.jsReact前端架构性能优化Web 安全开源

© 2026 Bithu咖啡馆。保留所有权利。

Web 安全实践：XSS、CSRF 与 CSP 的现代防御 — Bithu咖啡馆

目录

引言
一、XSS 的三种形态：先分清敌人
存储型 XSS（Stored XSS）
反射型 XSS（Reflected XSS）
DOM 型 XSS（DOM-Based XSS）
二、为什么转义不够：需要净化（Sanitization）
三、React 与 dangerouslySetInnerHTML：框架不等于安全
四、CSRF：让别人替你把请求发出去
现代第一道防线：SameSite Cookie
仍然需要 CSRF Token 的场景
双提交 Cookie（Double-Submit）
五、CSP：把"能执行什么"变成白名单
内联脚本：nonce 还是 hash
老站点怎么迁移
nginx 示例：先以 Report-Only 观察，稳定后再转 enforce
六、安全响应头：成本最低的一批加固
在哪个层设置
七、HTTPS 与 HSTS：先让传输不裸奔
八、永远不要信任外部数据
结语：一条可以照抄的检查清单

CSPCSRFWeb 安全XSS

Web 安全实践：XSS、CSRF 与 CSP 的现代防御

2026年8月17日1 次阅读约 23 分钟阅读