如何利用 Trusted Types 彻底重构遗留项目中的危险字符串拼接逻辑以通过现代安全审计
提到“彻底重构”字符串拼接逻辑，Trusted Types 本身并不直接做这件事。它的核心价值在于，强制将所有高危的 DOM 写入点，从过去直接传递string的模式，切换为必须使用经过类型受控的TrustedHTML、TrustedScript等对象。这相当于把运行时信任的决策权，从开发者容易出错的手动拼接，移交给了浏览器级别的类型校验系统。当然，这一切生效的前提是项目已经启用了强制性的 CSP 策略，并且覆盖了所有可能的“漏洞入口”。
第一步：确认浏览器兼容性与 CSP 基础配置
想让这套机制在全链路生效，服务端返回正确的 HTTP 响应头是关键，仅仅在前端添加 Ja vaScript 策略是无效的。有几个细节必须注意：
- 必须使用 HTTP 响应头：通过
标签设置的方式，不支持require-trusted-types-for指令。 - 生产环境一个最小可行的响应头配置如下：
Content-Security-Policy: trusted-types default; require-trusted-types-for 'script'; default-src 'self'; - 这里的
default是一个策略名占位符。如果项目使用了自定义策略名（例如dom-sanitizer），必须在 CSP 头中显式列出，否则浏览器会回退到宽松模式，安全机制形同虚设。 - 在开发阶段，建议先使用
Content-Security-Policy-Report-Only模式来捕获潜在的策略违规报告，避免策略一上线就直接阻断功能，影响开发体验。
第二步：识别并替换全部高危 sink 调用点
这项工作最忌“头疼医头”。不能只盯着最常见的 innerHTML 修改。在遗留代码中，那些容易被忽略的逃逸入口往往才是真正的风险点：
el.insertAdjacentHTML('beforeend', unsafe)—— 这个方法的危险性与innerHTML等同，同样受到 Trusted Types 控制，需要统一走策略处理。document.write(unsafe)和document.writeln()—— 虽然已是淘汰的 API，但在老代码中仍可能存留，必须清理。location.href = 'ja vascript:alert(1)'—— 这种形式的脚本执行，需要通过createURL策略进行包装。eval('...')、setTimeout('...', 100)、setInterval('...', 100)—— 所有以字符串形式动态执行的代码，都必须禁用或重写为函数形式。el.setAttribute('onerror', '...')—— 部分现代浏览器已能拦截，但不能依赖于此；更安全的做法是改用el.onerror = handler进行事件绑定。
第三步：定义最小必要策略，拒绝“万能 HTML 构造器”
这里有一个关键认知需要转变：策略（Policy）不是过滤器，而是可信内容的“出口闸门”。每个策略都应该职责单一、上下文明确：
- 切忌在
createHTML方法内部做复杂的白名单过滤或正则清洗——这不仅容易被绕过，还会带来性能损耗。 - 对于纯文本展示，优先使用
textContent，这能完全绕过 Trusted Types 的限制，既安全又高效。 - 当必须插入 HTML 时，正确的模式是：先在策略外部使用专门的库（如 DOMPurify）进行净化，再由策略进行简单的包装。
示例：createHTML: (input) => DOMPurify.sanitize(input) - 对于模板渲染场景，可以封装一个预编译策略。
示例：createHTML: (tpl, data) => Mustache.render(tpl, data)（需确保 Mustache 模板引擎的输出本身是已净化的）。 - 必须禁止在策略内部调用
eval、new Function，或者将参数拼接后直接返回字符串，这违背了策略设计的初衷。
第四步：处理框架与第三方库集成
React、Vue、Angular 等现代框架大多已适配 Trusted Types，但旧版本或项目中的自定义渲染逻辑仍可能存在逃逸风险：
- 首先检查所用框架的官方文档，确认其是否声明支持
require-trusted-types-for指令。例如，React 18.3+ 和 Vue 3.4+ 的版本通常默认兼容。 - 主动禁用或严格管控框架中允许直接传入原始 HTML 的 API，例如 Vue 的
v-html和 React 的dangerouslySetInnerHTML。应改用受控组件或通过策略进行包装。 - 对于 Ant Design、Element Plus 这类第三方 UI 库，如果其内部调用了
innerHTML，需要确认它们是否导出了策略接口，或者考虑通过统一的包装器（wrapper）进行拦截处理。 - Web Components 中的
shadowRoot.innerHTML在 Safari 17.4+ 和 Firefox 148+ 中已受控，但对于旧版浏览器，仍需做好降级处理方案。
整个流程梳理下来，技术原理并不复杂，但难点在于细节的全面覆盖，这一步往往容易被忽略。
