Trusted Types与DOM XSS防护实践

Trusted Types与DOM XSS防护实践概览Trusted Types 强制对敏感 DOM API 使用受信策略生成的值，减少不安全字符串拼接与注入。技术参数（已验证）策略：通过策略创建 `TrustedHTML/TrustedScript` 等对象；浏览器在启用后拒绝普通字符串。CSP：结合 `Content-Security-Policy: require-trusted-types-for 'script'` 启用强制模式。兼容：需评估依赖库与旧浏览器兼容性。实战清单审查 DOM 写入点并迁移到策略；配合 SRI 与 CSP 其他策略。提供降级路径与监控违例上报。