别让网页悄悄运行危险代码
你有没有过这样的经历？打开一个看起来正常的网站，浏览器突然卡住，弹出一堆广告页面，甚至发现电脑变慢了。这很可能是因为网页里藏了恶意脚本，趁你不注意就在后台运行。
这些脚本可能是用来挖矿、收集信息，或者诱导你下载病毒。别觉得这只是技术高手才要操心的事，普通人也得防着点。
浏览器设置能帮你挡掉大部分风险
主流浏览器都自带防护功能，关键是你得打开它。比如在 Chrome 的设置里找到“隐私和安全”，开启“保护您和您的设备免受危险网站的侵害”选项。这样访问已知的恶意站点时，浏览器会直接拦下。
还可以装个靠谱的扩展程序，比如 NoScript（Firefox）或 ScriptSafe（Chrome），它们能默认禁止所有脚本运行，只允许你手动开启信任网站的脚本。
别乱点来路不明的链接
微信群、短信里经常冒出“点击领取红包”“你的快递有问题”这种链接。点进去可能啥事没有，也可能立刻跳转到伪造的登录页，偷偷运行一段 JavaScript 记录你的账号密码。
记住一点：正规机构不会通过短链接发重要通知。看到这种链接，先别急着点，用鼠标悬停看看真实地址是不是可疑。
开发人员更要注意输入过滤
如果你自己做网站，用户能输入内容的地方就是高风险区。比如评论框、搜索栏，有人可能提交像这样的内容：
<script>alert('XSS攻击');</script>如果后端不做处理就直接显示，这个脚本就会在其他用户的浏览器里执行。正确做法是对特殊字符转义，比如把 < 变成 <，这样浏览器就不会当它是代码。
常见语言都有现成工具，PHP 用 htmlspecialchars()，JavaScript 用 DOMPurify 库，都能有效防范。
启用内容安全策略（CSP）
这是网站给浏览器下的一道“禁令”，告诉它只能加载哪些来源的脚本。比如在 HTTP 头里加这么一句：
Content-Security-Policy: script-src 'self';意思是只允许执行本站自己的脚本，外链的 js 全部禁止。这样一来，就算黑客注入了代码，浏览器也不会理它。
虽然配置起来有点门槛，但对防止 XSS 攻击特别管用，值得花时间设一下。
日常使用的小建议
更新系统和浏览器别偷懒，很多漏洞都是旧版本才有的。公共 Wi-Fi 下尽量别登录重要账户，有些攻击能在网络层面插入脚本。
另外，别随便下载“破解软件”“绿色版工具”，这类文件常被捆绑恶意代码。宁可多花点钱买正版，也别拿安全开玩笑。