发现前端页面存在可利用的 DOM XSS 后，怎样完成根因分析与修复验证

核心结论

处理 DOM XSS 不能停留在删除某个恶意字符串，而应追踪“不可信数据从哪里进入、经过哪些变换、最终进入什么执行上下文”。真正有效的修复，是在危险汇聚点消除字符串到可执行代码或可解析标记的转换，并用浏览器安全策略降低遗漏风险。

底层机制与决策依据

DOM XSS 通常不要求服务端把恶意内容原样写回响应。攻击数据可能来自地址片段、查询参数、跨窗口消息、本地存储、接口返回值或第三方组件，再被传入 innerHTML、outerHTML、insertAdjacentHTML、document.write、字符串形式的 setTimeout，或者动态脚本地址等危险位置。浏览器会依