Trusted Types 与 DOM XSS 防护（策略、迁移与验证）

Trusted Types 与 DOM XSS 防护（策略、迁移与验证）关键实践与参数策略：`Content-Security-Policy: require-trusted-types-for 'script'; trusted-types myPolicy`。迁移：为 `innerHTML`/`setAttribute` 等危险写入创建安全工厂；逐步替换。验证：在 DevTools 观察 Trusted Types 违规与报错；收集报告。示例（伪代码）const policy = trustedTypes.createPolicy('myPolicy', { createHTML: s => sanitize(s) }) el.innerHTML = policy.createHTML(userInput) 注意事项与 CSP/SRI 协同；避免策略冲突与回退路径。第三方库兼容性评估；必要时隔离或替换。报告与审计，逐步提升覆盖。