由 dawei 多端适配网站不仅要响应式布局美观，更要从架构底层筑牢安全防线。浏览器、移动端、小程序等不同终端的访问特征差异大，攻击面更广，安全策略必须覆盖全栈链路。
前端需严格校验与最小化暴露。所有用户输入须在客户端和服务器端双重校验，禁止仅依赖前端JS拦截；敏感操作（如支付、修改密码）强制二次确认；CSS/JS资源启用Subresource Integrity（SRI）哈希校验，防止CDN劫持篡改；HTML模板使用上下文感知的自动转义（如React的jsx或Vue的v-html谨慎管控），杜绝XSS注入。
后端是安全中枢，务必实施纵深防御。API接口统一采用HTTPS并禁用TLS 1.0/1.1；所有接口启用CORS白名单，拒绝通配符；身份认证推荐JWT+短期有效期+Redis黑名单双控机制，避免令牌长期泄露风险；数据库交互强制参数化查询，禁用拼接SQL，防范SQL注入；关键业务逻辑（如库存扣减、金额变动）加分布式锁并做幂等性校验，防止重放与并发漏洞。
服务端基础设施需主动加固。Nginx或云WAF配置基础规则：限制请求频率、过滤恶意UA和扫描路径、阻断常见攻击载荷（如