防止XSS需转义用户输入、使用DOMPurify、避免innerHTML、设置CSP；2. 会话安全应使用HttpOnly Cookie并配置Secure和SameSite属性；3. 防范CSRF需配合后端使用CSRF Token和自定义请求头；4. 依赖安全要定期审计漏洞、锁定版本、移除无用包并启用SRI；5. 安全是持续过程，需前后端协同防护。
前端安全在现代Web开发中至关重要，JavaScript作为前端核心语言，容易成为攻击入口。以下是一些关键的安全实践，能有效降低常见风险。
防止跨站脚本攻击（XSS）
XSS是最常见的前端漏洞之一，攻击者通过注入恶意脚本获取用户数据或执行非法操作。
- 对所有用户输入进行转义，尤其是输出到HTML时，使用工具如DOMPurify清理富文本内容
- 避免使用innerHTML、document.write等直接插入HTML的方法，优先使用textContent
- 设置Content-Security-Policy (CSP)响应头，限制脚本来源，禁止内联脚本执行
安全处理用户身份与会话
前端虽不负责认证逻辑，但仍需正确管理凭证以避免泄露。
- 绝不将敏感信息（如JWT令牌）存储在localStorage或sessionStorage中，优先使用HttpOnly Cookie
- 确保Cookie设置Secure和SameSite属性，防止CSRF和中间人攻击
- 在SPA中使用短生命周期的访问令牌搭配刷新令牌机制，减少被盗用风险
防范跨站请求伪造（CSRF）
攻击者诱导用户执行非预期的操作，例如修改账户信息或发起转账。
立即学习“Java免费学习笔记（深入）”；
- 配合后端使用CSRF Token验证机制，在每个敏感请求中携带一次性令牌
- 对于API调用，确保前后端约定使用自定义请求头（如X-Requested-With），帮助后端识别合法请求
- 敏感操作要求用户重新验证身份，如输入密码或二次确认
依赖库与构建安全
现代项目大量依赖第三方包，存在供应链风险。
- 定期运行npm audit或使用snyk检查已知漏洞
- 锁定依赖版本，避免自动升级引入不可控代码
- 移除未使用的依赖，减小攻击面
- 启用Subresource Integrity（SRI）校验CDN加载的外部脚本完整性
基本上就这些。前端无法完全独立保障安全，但通过合理编码习惯和协同后端策略，能大幅提高应用整体防护能力。安全不是一次配置，而是持续关注的过程。
