浏览器加载第三方脚本时，允许代码读取 DOM、存储数据及调用本站接口，使外部脚本获得页面完整权限，存在篡改、窃取、 овладевание资源等供应链风险。解决方案包括使用 Subresource Integrity（SRI）验证文件哈希完整性，配合 CORS 防御非法跨域访问，并在 CSP 中严格限制资源来源。自托管虽能减少 CDN 篡改风险，但需同步管控依赖维护者权限、构建环境安全性和版本更新哈希校验。常见误区：HTTPS 无法阻止供应链篡改，固定版本才能有效使用 SRI；动态脚本（如带参数的 latest 版本）无法依赖静态哈希验证；第三方 iframe 必须通过 sandbox 限制 DOM 访问，且仅支持与主页面明确约定的 postMessage 通信。最终目标通过全程监控代码来源、版本固化及权限隔离，实现可控供应链安全管理。