服务端渲染的工程实践前端安全依赖分层防护。没有任何单一配置能替代输出编码、权限校验和依赖更新。把不可信内容当作数据默认使用框架的转义能力确需渲染 HTML 时先在服务端或可信的客户端库中进行白名单过滤。避免把用户输入直接赋给innerHTML。CSP 起点Content-Security-Policy: default-src self; script-src self; object-src none; base-uri selfCSP 需要结合现有资源来源逐步收紧并通过 report-only 模式观察影响。CSRF 防护还应由服务端校验请求来源和令牌。验证建议对富文本、URL 跳转、上传文件和第三方脚本做针对性测试在 CI 中运行现有依赖审计并按项目风险流程处理告警。