low 审查源码发现只允许导入白名单中的javascript网站,直接使用代码中的例子,按理说应该能弹窗,但是我没有成功,且CSP报错 但是因为是刚刚接触,对于CSP还不是很熟,所以只能换种方法,反正题目的初衷应该是让了解被信任的网站也可能被攻击者利用,存有恶意代码。这里使用的是网上的另一种方法,将javascript代码保存到csp文件夹下,随便命名,例如xss,然后在导入框中导入,弹窗成功 medium 审查源码,unsafe-inline