前端白名单：在前端代码中执行，用于过滤或验证用户输入的数据，UI友好，不安全，容易被绕过
后端白名单：后端业务逻辑处理或数据支持化层面执行，更安全，不易绕过
内容安全策略(CSP：Content Security Policy)是一种由浏览器实施的安全机制(可理解为额外的安全层)，旨在减少和防范跨站脚本攻击等安全威胁
核心原理：网站通过发送一个CSP header头部(也可以在html直接设置)，告诉浏览器具体的策略(什么是授权的与什么是被禁止的)，从而防止恶意内容的加载和执行
CSP 指令说明：
default-src: 指定默认的加载内容的来源，如果未指定其他指令，则默认应用此指令
script-src: 指定允许加载 JavaScript 的来源
style-src: 指定允许加载样式表的来源
img-src: 指定允许加载图片的来源
connect-src: 指定允许向其发送请求的来源(例如 AJAX、WebSocket 连接等)
实体编码（Entity Encoding）是一种将特殊字符转换为HTML实体的过程，以确保这些字符能够在HTML文档中正确显示而不会被解释为HTML标记。
常见的实体编码包括将 < 转换为 < 将 > 转换为 > 等。
PS：这里前端实体编码Demo放到了存储型XSS模块中
单个接口配置：并非所有的cookie都必须设置为HttpOnly，可能有一些cookie是需要客户端JavaScript访问的，例如用于前端操作或分析目的的cookie
全局配置场景：在整个应用程序中所有的cookie都具有HttpOnly属性，可以考虑在全局配置中进行设置
使用HttpOnly并不是绝对安全的，以下三个场景还是会存在安全问题：
1、当攻击者使用CSRF+XSS进行攻击时，可绕过绕过浏览器的安全限制
2、中间人攻击
3、恶意浏览器插件