| 编码 | 按上下文实体编码；富文本走白名单过滤 |
|---|---|
| CSP | script-src 收紧，禁止与避免 unsafe-inline |
| 框架 | 使用模板引擎默认转义，禁用原始 HTML 渲染开关 |
CSP 响应头示例
CSP 响应头示例
add_header Content-Security-Policy "default-src 'self'; script-src 'self'; object-src 'none'; base-uri 'self'" always;CSP 是纵深防御而非修复手段：编码修复后仍应保留 CSP 降低残余风险。