Angular多子应用iframe部署时，如何额外防范DOM injection漏洞？

首先明确：Angular内置的DOM注入防护（比如插值自动转义、安全管道处理）确实能覆盖单应用内的大部分场景，但你的架构是主应用通过IFrame加载子应用，这种跨上下文的场景存在Angular默认防护覆盖不到的风险点，安全团队的提示并非空穴来风，需要补充以下措施：

• 严格管控IFrame的加载权限
  给IFrame添加sandbox属性，根据实际需求最小化授权，比如只开放sandbox="allow-same-origin allow-scripts allow-top-navigation"，禁止不必要的权限（比如allow-popups、allow-forms）。同时在主应用的CSP响应头中设置frame-src指令，仅允许加载可信的子应用域名，杜绝加载未知来源的内容。

• 规范主/子应用的通信逻辑
  如果主、子应用通过postMessage通信，必须在接收消息时严格校验发送方的origin，只处理可信域名的消息。同时对消息内容做强校验：只接受预期的结构化数据（比如特定格式的JSON），绝对不能直接将消息内容插入DOM，更不能执行消息中的脚本。

• 子应用的安全加固
  即便子应用是Angular构建，也要确保开发团队没有滥用DomSanitizer的bypassSecurityTrust*方法——这类方法会绕过Angular的默认防护，使用前必须对内容做彻底的清洗。另外给子应用单独配置CSP响应头，限制脚本、样式等资源的加载源，进一步缩小攻击面。

• 审计主应用的手动DOM操作
  排查主应用中是否存在原生DOM操作代码（比如document.write、直接赋值innerHTML），如果有，必须通过Angular的DomSanitizer对插入内容做安全处理，禁止直接将用户输入、第三方接口返回的未清洗内容插入DOM。

• 避免动态生成不可控的IFrame源
  绝对不要让用户输入或第三方参数直接决定IFrame的src属性，所有子应用的加载地址必须从后端可信接口获取，且提前加入白名单校验。

内容的提问来源于stack exchange，提问作者indra257