前端安全编码

要解决什么问题

前端漏洞往往出在「能跑就行」的 DOM 写法：用 innerHTML 拼用户内容、内联事件处理器、开放重定向参数、Token 塞进 localStorage 却不考虑 XSS 连带风险。这些问题在代码审查里零散出现，缺一套可执行的编码清单和验证步骤，而不是只做一次性的渗透报告。

技能如何协助

该技能定位在动手写安全前端，与偏审计与架构的 security-auditor 不同：这里强调实现与修复。

• 输出与 XSS：优先 textContent、DOMPurify 等清理、模板自动转义、UGC/Markdown 安全渲染
• CSP：script-src/style-src、nonce/hash、strict-dynamic、违规上报与渐进收紧
• 输入与导航：白名单校验、ReDoS 意识、上传与 URL 校验；重定向白名单、开放重定向防护、rel="noopener noreferrer"
• UI 与集成：X-Frame-Options / frame-ancestors、iframe 沙箱与 postMessage、SRI、Trusted Types
• 会话与浏览器能力：令牌存储策略、OAuth PKCE、HTTPS/混合内容、CORP/COEP 等

典型工作流：先对齐威胁面与约束 → 按最佳实践改代码 → 给出可验证步骤（必要时参考 resources/implementation-playbook.md）。

适用边界

任务若与客户端编码无关（例如合规评估、DevSecOps 流水线设计、渗透测试规划），应改用审计向技能。点击劫持的框架破坏等策略仅适合生产或独立应用；在 iframe 联调场景需放宽，避免误伤开发环境。