防范XSS需转义用户输入、避免innerHTML、启用CSP、过滤动态代码；防御CSRF应使用SameSite Cookie、配合Token验证、禁用GET敏感操作；通用措施包括最小权限、更新依赖、增加确认提示，协同前后端提升安全性。
在前端开发中，安全是不可忽视的一环。XSS（跨站脚本攻击）和CSRF（跨站请求伪造）是两种常见的安全威胁，可能造成用户数据泄露、账户被盗等严重后果。要有效防护这些攻击，需从前端与后端协同入手，但前端仍可采取多项措施增强安全性。
防范XSS攻击的关键方法
XSS攻击通过向网页注入恶意脚本，利用浏览器执行来窃取信息或冒充用户操作。前端可通过以下方式降低风险：
- 对用户输入内容进行转义：在将用户输入的内容插入到页面前，使用安全的转义函数处理特殊字符，如<转为，>转为>，防止脚本执行。
- 避免直接使用innerHTML：优先使用textContent或innerText插入文本内容，若必须使用HTML，应通过可信的DOMPurify等库进行过滤。
- 启用Content Security Policy（CSP）：通过HTTP头配置CSP策略，限制页面只能加载指定来源的脚本，阻止内联脚本和eval等危险行为。
-
正确处理URL和动态代码：对用户提供的链接进行校验，避免使用
javascript:伪协议；不使用new Function()或setTimeout(string)等动态执行字符串的方式。
防御CSRF攻击的前端策略
CSRF攻击利用用户已登录的身份，伪造请求完成非本意的操作，如转账或修改密码。虽然主要防御在后端，前端也可配合增强防护：
-
使用SameSite Cookie属性：确保后端设置Cookie时加上
SameSite=Strict或SameSite=Lax，防止跨域请求携带Cookie。 - 配合Token验证机制：在表单或API请求中添加由后端生成的一次性Token（如CSRF Token），前端在提交时将其放入请求头或隐藏字段中。
- 避免使用GET请求执行敏感操作：删除、修改类操作应使用POST/PUT/DELETE，并通过AJAX发送，减少被诱导点击链接的风险。
- 检查请求来源（Referer）：虽不能完全依赖，但前端可记录并提醒异常来源，辅助后端做Referer校验。
通用安全建议
除针对特定攻击外，保持良好的开发习惯能整体提升应用安全性：
立即学习“前端免费学习笔记（深入）”；
- 最小化权限原则：前端只请求必要的数据和接口权限，避免暴露敏感信息。
- 及时更新依赖库：定期检查项目中的第三方库是否存在已知漏洞，使用npm audit等工具辅助检测。
- 敏感操作增加用户确认：对关键操作弹出二次确认框，降低被自动触发的可能性。
基本上就这些。前端虽无法独立抵御所有攻击，但通过合理编码和安全配置，能显著提升系统的抗风险能力。安全是一个持续过程，需要开发者时刻保持警惕。
