Trusted Types、postMessage 与浏览器信任边界

从数据流识别危险边界

前端安全不仅是转义服务端模板。URL、DOM 属性、跨窗口消息、第三方脚本、本地存储和 JSON 合并都可能把不可信数据送入高权限 API。排查时应追踪来源、转换、危险 Sink 和浏览器执行上下文。

Trusted Types 可以配合 CSP 限制把普通字符串传给 innerHTML 等 DOM XSS Sink，迫使应用通过受控 Policy 创建可信值。它是减少 DOM 注入面的方法，不会自动判断业务数据安全，也不能替代上下文编码和安全 DOM API。

落地时先使用 Report-Only 收集违规，清理直接 DOM 注入，再逐步启用：

Content-Security-Policy-Report-Only:
  require-trusted-types-for 'script'; trusted-types app-html

Policy 应集中、数量少且经过评审。一个直接返回输入的万能 Policy 只会绕过保护。

发送消息时指定精确 targetOrigin，接收时同时校验 event.origin、必要时校验 event.source，并对消息结构执行运行时验证。来源可信不代表消息内容永远可信，另一个窗口可能存在 XSS 或版本不兼容。

不要把 Token、个人数据或具有副作用的任意命令协议广播给 *。

使用 sandbox 只开放必要能力，结合 CSP frame-ancestors 控制谁能嵌入当前页面。第三方 iframe、脚本和微前端需要明确存储、导航、弹窗、下载和跨源通信权限。

攻击者控制的 HTML 可能通过元素 id 或 name 影响全局属性解析；不安全的深度合并可能写入 __proto__ 等特殊键。应避免依赖隐式全局变量，对外部对象执行 Schema 校验，并使用维护良好的合并实现。