前端使用外部脚本和动态加载器时，如何建立可撤销的脚本信任体系？

# 核心结论

外部脚本一旦在页面主执行环境运行，通常就能读取页面数据、操作界面并以当前用户身份调用同源接口，因此不能只凭供应商声誉建立永久信任。可撤销体系应包括来源最小化、版本固定、内容完整性校验、运行能力隔离、严格的 Content-Security-Policy、构建审计、持续监测和紧急停用。统计、客服、广告等非核心组件应优先放入独立来源的受限 iframe、服务端代理或权限更小的执行环境；只有确实需要页面能力且无法隔离的脚本才进入主环境。

# 底层机制

仅在 script-src 中放行域名，相当于信任该域名下所有能匹配策略的交付路径及其账户、发布系统和内容分发网络。供应商或交付链被攻破后，恶意内容仍