xss : 通過某些方法在網(wǎng)站里注入一些腳本，導(dǎo)致頁面出現(xiàn)問題，甚至竊取用戶信息。很可能就是通過網(wǎng)站提供的富文本編輯器之類的工具，插入script內(nèi)容。
限制方法：在服務(wù)器返回的頭里面寫入'Content-Security-Policy'。

• 只能通過http: https加載，不能直接寫在html
• 如果通過外鏈加載的JS文件，指定域名可以加載，只能本域名下的JS文件可以加載

//限制default-src，只能通過http: https加載，不能直接寫在html
'Content-Security-Policy':'default-src http: https'

屏幕快照 2018-07-13 下午4.41.24.png

如果在頁面直接寫了JS，報錯

可以寫在meta標(biāo)簽

  <meta http-equiv="Content-Security-Policy" content="script-src 'self'; form-action 'self';">