HTML页面安全策略汇总(2)：CSP、沙箱与权限策略

最新推荐文章于 2025-07-04 22:04:29 发布

原创

最新推荐文章于 2025-07-04 22:04:29 发布 · 1.1k 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#html #安全 #web安全

本文聚焦HTML安全，详细介绍了CSP内容安全策略的使用，如何通过沙箱限制第三方页面的风险，以及权限策略在增强安全性方面的应用。CSP控制页面执行受信任的脚本和资源加载，沙箱则通过禁用潜在危险功能来保护页面，权限策略提供了更灵活的URL特定配置。结合使用这三种策略，能有效防御XSS攻击，提高Web应用的安全性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

本文为HTML标准解读系列文章，其他文章详见这里。

根据2017年的《开放web应用安全项目》：XSS是最普遍存在的页面漏洞之一，有2/3的web应用存在XSS漏洞。XSS，中文名叫跨站脚本攻击：黑客利用页面的中的漏洞，给页面注入恶意的客户端代码，这些代码被页面认为是受信任的代码，于是可以绕过同源策略的限制并获得相关的用户权限。

常见的避免XSS攻击的手段包括：

对所有用户的输入进行过滤，比如对<、>等敏感符号进行转义。

对HTML代码进行“净化”，一个比较有名的库叫DOMPurify，它会把HTML语句中含有XSS风险的的地方过滤掉。如：

DOMPurify.sanitize('<img src=x οnerrοr=alert(1)//>'); // becomes <img src="x">
DOMPurify.sanitize('<svg><g/οnlοad=alert(2)//<p>'); // becomes <svg><g></g></svg>
DOMPurify.sanitize('<p>abc<iframe//src=jAva&Tab;script:alert(3)>def</p>');