如何通过Trusted Types与CSP协同构建高效的企业级前端安全白名单？

本文共计1132个文字，预计阅读时间需要5分钟。

Trusted Types 不是独立的补丁，而是与 CSP 协同工作的强制校验机制。它真正起效的前提是 CSP 中启用了 require-trusted-types-for 'script'，否则所有 DOM 注入 API（如 innerHTML、eval、script.src 等）都将直接接收字符串——这等同于将内核响应堆栈的物理密钥转换成一张便利签条。

一、CSP 必须配置两个核心指令

仅声明 trusted-types 策略名，却不启用强制校验，策略形同虚设。生产环境必须同时设置：

• trusted-types：定义允许创建的策略名称白名单，例如 securePolicy default es-module-shims。不建议用 *，应明确列出每个业务模块或第三方库所需的策略名（如 react-html、vue-template）；
• require-trusted-types-for 'script'：强制所有高危 DOM 操作只接受 TrustedHTML、TrustedScriptURL 等类型对象。该指令目前仅支持 'script' 和 'all'，'style' 尚未被主流浏览器广泛支持，暂不启用。