富文本预览与第三方脚本并存时，如何设计可落地的内容安全策略？

# 核心结论

富文本预览与第三方脚本并存时，应把用户内容和第三方代码视为两种独立的不可信边界。可落地的方案是：纯文本按输出上下文编码，确需保留格式的内容使用成熟净化器实施允许列表；高风险预览放入失去主站同源能力的沙箱化 iframe；脚本通过严格的内容安全策略 CSP 限制来源，并使用逐响应随机的 nonce 或固定脚本摘要授权；第三方脚本按必要性、来源和数据权限逐项登记；最后通过违规报告、测试和历史内容重处理持续发现回归。CSP 的作用是限制浏览器可执行或加载的资源，不是输入过滤器，不能替代编码和净化。

# 底层机制

XSS 的根因是攻击者可控数据进入可执行上下文。文本节点、属性、地址、样式和脚本