区分 Referer 防盗链、登录鉴权和签名 URL，理解普通图片、私有文件和视频资源应选择的保护层级。

浏览器加载第三方脚本时，允许代码读取 DOM、存储数据及调用本站接口，使外部脚本获得页面完整权限，存在篡改、窃取、 овладевание资源等供应链风险。解决方案包括使用 Subresource Integrity（SRI）验证文件哈希完整性，配合 CORS 防御非法跨域访问，并在 CSP 中严格限制资源来源。自托管虽能减少 CDN 篡改风险，但需同步管控依赖维护者权限、构建环境安全性和版本更新哈希校验。常见误区：HTTPS 无法阻止供应链篡改，固定版本才能有效使用 SRI；动态脚本（如带参数的 latest 版本）无法依赖静态哈希验证；第三方 iframe 必须通过 sandbox 限制 DOM 访问，且仅支持与主页面明确约定的 postMessage 通信。最终目标通过全程监控代码来源、版本固化及权限隔离，实现可控供应链安全管理。

理解攻击者如何用透明 iframe 诱导用户点击真实网站，并使用 frame-ancestors 和 X-Frame-Options 阻止嵌入。

CSP通过白名单或nonce限制资源加载和脚本执行，基础策略示例为 script-src 'self'; object-src 'none'; 等配置。若需逐步调整，建议先使用Content-Security-Policy-Report-Only监测风险，再切换至正式策略。配合安全响应头：Strict-Transport-Security强制HTTPS流量；X-Content-Type-Options防止MIME类型猜测；Referrer-Policy控制Referer泄露范围；Permissions-Policy限制摄像头等权限滥用。常见误区包括过度信任unsafe-inline、盲目扩大CSP白名单、依赖meta标签配置强制头等。配置顺序应为清洗安全输出→精简危险API→CSP限制执行环境→监控审计，避免直接复制网络方案。核心收益是形成浏览器纵深防御体系，有效降低XSS劫持、CSRF、点击劫持风险，同时需匹配业务逻辑而非简单堆砌策略。

从存储型、反射型和 DOM 型 XSS 理解恶意脚本如何获得本站权限，并掌握输出编码、清洗和安全 DOM API。

系统组合 SameSite、同步 Token、双重 Cookie、Origin 和 Referer 校验，构建敏感接口的多层 CSRF 防御。

通过本地银行与恶意网站实验，理解攻击者如何让浏览器自动带上登录 Cookie 执行敏感操作。

解释浏览器为何允许部分跨源请求却不允许 JavaScript 读取响应，并拆解简单请求、预检和凭证请求。

理解 HTTPS 保护传输的边界，再说明 Secure Cookie、HSTS、首次访问风险和混合内容。

理解 Session ID 的生成、轮换、超时、注销和固定攻击，避免只设置 Cookie 却没有管理登录生命周期。