前端安全面试题

共 6 道题，按题目查阅参考答案、代码示例与官方资料。

• CSP 的 nonce、hash 与 Report-Only 如何使用？

• HttpOnly、Secure 和 SameSite 分别保护什么？

• 跨窗口 postMessage 怎样避免把消息发给错误对象？

• Trusted Types 会自动过滤所有危险 HTML 吗？

• 怎样用 frame-ancestors 限制页面被嵌入？

• 原型污染为什么常出现在动态属性赋值和深合并中？