CSP用白名单从架构层面阻断脚本注入，而非只依赖转义这道最后防线

面对XSS（跨站脚本攻击），最直接的防御手段是转义——把用户输入中可能被浏览器解释成HTML/JavaScript标签的特殊字符（如&、<、>、’、”等）替换成安全的转义形式，让恶意输入始终只能以纯文本的方式呈现、不会被当成可执行代码解析。但转义的问题在于它是一种”逐处打补丁”式的防御：转义规则本身在HTML、JS、URI等不同上下文里各不相同，非常容易被开发人员在某处遗漏，只要有一处该转义而没转义，攻击者就可能找到突破口。CSP（内容安全策略）提供了一种更根本的补充思路：不再依赖”每一处输出都被正确转义”这个脆弱的假设，而是由浏览器在页面加载阶段就强制执行一份白名单策略——比如只允许加载指定域名下的JavaScript脚本、禁止执行所有内联脚本和eval，即使攻击者真的成功往页面里注入了一段恶意脚本，只要这段脚本不满足白名单策略（它是内联的、或者来自未被信任的域名），浏览器就会直接拒绝执行它。这个案例给出一条通用的纵深防御原则：像转义这样”依赖每一处代码都正确处理”的防御手段天然存在遗漏风险，更稳妥的做法是在更靠近执行环节（这里是浏览器本身）的位置，用一层与具体业务代码无关的白名单策略兜底，即使前面的防线百密一疏，后面这层策略仍然能把实际的执行拦下来。