苏州Web 安全基础（CSP/XSS/CSRF）

XSS / CSRF

XSS：不信任任何用户输入，输出做转义；CSRF：关键操作加 token 校验与 SameSite Cookie。表单提交用 POST + 校验 Referer/Token。

CSP 策略

Content-Security-Policy 限制脚本/资源来源，即使被注入也难执行。从 report-only 模式观察再收紧。

# 响应头示例
Content-Security-Policy: default-src 'self';
  script-src 'self' 'unsafe-inline';
  img-src 'self' data: https:;