Web 安全：CSP 与 Trusted Types 实战

核心机制CSP：白名单与策略限制资源加载与内联执行；`nonce`/`hash` 验证。Trusted Types：限制危险 DOM API 输入，强制经安全工厂创建。部署建议策略分阶段：`report-only` 观察再强制；精细化来源白名单。与框架整合：React/Vue 下避免 `dangerouslySetInnerHTML` 与不安全插值。兼容性：旧浏览器不支持 Trusted Types，提供降级方案。