浏览器与客户端安全：CSP、SRI 与 Trusted Types
系统讲解浏览器与客户端安全防线：内容安全策略（CSP）的 nonce 与 strict-dynamic 实践、子资源完整性（SRI）防供应链投毒、Trusted Types 根除 DOM XSS，以及 COOP/COEP/CORP 与 Permissions-Policy 的落地配置。
tag
XSS
共 9 篇文章。
Web 安全加固：CSP、HSTS、安全响应头与 XSS 防护实战
Web 安全加固深度实战：安全响应头全景（CSP/HSTS/X-Frame-Options/Referrer-Policy 等）、CSP 策略设计与常见报错排障、HSTS 与 TLS 升级、XSS 纵深防御、SRI 子资源完整性校验，以及在 Cloudflare/Vercel/边缘层统一落地安全头的方案。
TypeScript 应用安全加固：依赖、注入与敏感信息防护
系统覆盖 TypeScript 应用的安全加固实践：依赖供应链风险（npm audit、锁文件、SCA、supply chain 攻击）、XSS 在 React/模板中的形态与转义、SQL 注入与参数化查询、命令注入与输入校验、密钥与 env 与日志脱敏、CSP 与 zod 运行时防护，以及一份可落地到 review 流程的安全编码 checklist，帮助开发者在类型安全之上再筑一道运行时与供应链的防线。
富文本编辑与内容渲染管线：Markdown、提及标签与安全渲染
系统覆盖微型博客内容从输入到展示的完整管线：编辑器选型（Markdown / 所见即所得）、内容数据模型（AST 与 HTML 双形态）、@提及与 #标签 的解析与实体化、服务端 Markdown 渲染与预览一致性、XSS 防护与安全的 HTML 清洗、图片/视频媒体的嵌入与懒加载、以及渲染性能与缓存，帮助读者构建安全、一致、可扩展的内容管线。
Vite 前端安全加固：CSP、依赖供应链与构建产物安全
系统覆盖基于 Vite 的前端应用安全加固实践：CSP（内容安全策略）的指令体系与 nonce/hash 机制、Vite 项目如何正确配置 CSP（script-src/style-src 与开发/生产差异）、依赖供应链安全（锁定版本/lockfile/漏洞扫描/审计）、构建产物的安全风险（source map 泄漏/API key 泄漏/注入）、XSS 与注入面在构建层的缓解，以及合规与安全基线的建立，帮助前端团队把安全从「上线后修补」前置到「构建与依赖层」。
PHP 安全加固实战：SQL 注入、XSS、CSRF 与 OWASP 全清单
系统覆盖 PHP Web 安全：SQL 注入与预处理、XSS 输出转义、CSRF 令牌、会话固定与劫持、文件上传漏洞、SSRF、Sensitive Data 泄露、Laravel 内置防护与 OWASP Top 10 对照。
XSS 与 CSRF 防御实战
深入讲解跨站脚本攻击（XSS）三种类型、DOM-based XSS 原理、Content Security Policy（CSP）配置，以及 CSRF Token/Double Cookie/ SameSite 等跨站请求伪造防御技术。
前端安全进阶：XSS、CSP、SRI 与供应链安全
系统性前端安全深度指南：XSS 全分类（Reflected/Stored/DOM-based/mXSS）与防御矩阵（转义/CSP/DOMPurify/Trusted Types）、CSP（Content Security Policy）策略设计与部署、SRI（Subresource Integrity）校验、CSRF Token 与 SameSite Cookie、前端加密与密钥管理、npm 供应链安全（package-lock/audit/SBOM/openSSF Scorecard）、原型污染防御、eval/new Function 沙箱替代方案、浏览器安全头全览。附 Vue/React/Next.js 安全配置。
Go HTML 模板安全入门：自动转义、模板函数和页面渲染边界
从一个小型页面开始讲 Go html/template 的自动转义、安全边界、模板函数和常见误用，适合刚开始写 Go Web 页面的读者。