答案：JavaScript安全需防范XSS、保护敏感数据、审慎管理依赖并禁用危险API。具体包括转义用户输入、使用CSP、避免内联脚本；不硬编码密钥，合理使用HttpOnly Cookie；定期审计npm包；禁用eval和不安全的postMessage。
JavaScript在现代Web开发中无处不在，但其灵活性和动态特性也带来了诸多安全风险。要保障应用安全，开发者必须从代码编写阶段就遵循安全编程规范。以下是关键的安全实践，帮助你减少漏洞、提升系统健壮性。
1. 防止跨站脚本攻击（XSS）
XSS是最常见的JavaScript安全威胁，攻击者通过注入恶意脚本窃取用户数据或冒充用户操作。防范核心是永远不要信任用户输入。
- 对所有用户输入进行转义后再输出到页面，尤其是插入HTML时。使用DOMPurify等库清理富文本内容。
- 避免使用innerHTML、document.write等可执行脚本的方法，优先使用textContent。
- 设置HTTP头部Content-Security-Policy (CSP)，限制脚本来源，禁止内联脚本执行。
2. 安全处理敏感数据
JavaScript运行在客户端，所有代码和数据都可能被查看或篡改。因此，绝不将敏感信息硬编码在前端代码中。
- API密钥、令牌、密码等应通过后端安全接口动态获取，并尽量缩短生命周期。
- 使用HttpOnly和Secure标志的Cookie存储会话凭证，防止JavaScript访问和明文传输。
- 避免在localStorage中长期保存敏感信息，容易受到XSS攻击窃取。
3. 正确使用第三方依赖
现代项目大量依赖npm包，但第三方代码可能引入漏洞或恶意行为。
立即学习“Java免费学习笔记（深入）”；
- 定期运行npm audit或使用Snyk等工具检查依赖中的已知漏洞。
- 只从可信源安装包，避免使用维护不活跃或下载量极低的库。
- 锁定依赖版本（使用package-lock.json），防止自动升级引入意外变更。
4. 避免危险的JavaScript API
某些原生方法极易被滥用，导致安全问题。
- 禁用eval()、setTimeout(string)、Function()构造函数，它们会动态执行字符串代码。
- 谨慎使用postMessage，始终验证消息来源（origin）和数据格式。
- 使用fetch时设置credentials: 'same-origin'或明确控制是否携带凭据。
基本上就这些。安全不是一次性的任务，而是贯穿开发流程的习惯。从每一行JavaScript代码开始，保持警惕，才能构建真正可信的应用。
