内容安全策略（CSP）的作用

很多人一听到内容安全策略，也就是常说的 CSP，总觉得有点技术黑话。其实它干的事挺直白：给浏览器立规矩，规定这页网页能加载什么、能执行什么，尽量别让不该跑的脚本随便蹦出来。

评论区这类地方最容易出事。用户写的内容、昵称、甚至一些摘要字段，一旦没处理好就可能变成脚本入口。输入过滤、输出转义当然重要，但谁也不能保证永远零漏网。CSP 的作用，不在于把脏数据洗干净，而在于就算有东西混进了页面，浏览器也得先对照策略再决定能不能执行。过不了关的，直接拦下，脚本执行面一下子就小了。

可以把它想成小区门禁。前面的转义和白名单像门口保安，尽量不让陌生人进；CSP 更像楼道权限卡，就算有人混进来了，没授权也开不了关键的门。两道关叠在一起，比单押某一种手段稳得多。

当然，CSP 也不是一开就万事大吉。策略太松，挡不住多少；太紧，正常功能可能跟着一起卡死。更稳的做法是逐步启用，先压住明显危险的脚本执行面，再按业务慢慢收。对中小站点来说，它更像兜底，而不是替代日常检查的万能钥匙。

真正靠谱的，是把它放回整条链路里看：输入从哪来、输出到哪去、富文本允许什么、后台预览有没有同样过滤。CSP 负责收紧执行面，转义和白名单负责减少脏数据进场。几道关卡各管一段，风险才不容易过几天又回到原样。