2022年无需兼容旧浏览器，仍需使用<meta charset="UTF-8">吗？

问题背景 #

UTF-8是现代浏览器的默认编码，若不打算兼容旧浏览器，添加<meta charset="UTF-8">还有必要吗？

关于跨脚本攻击的潜在风险 #

确实有说法提到省略该标签可能引发跨脚本攻击，但目前没有公开的明确案例。不过从规范和安全最佳实践角度，明确声明编码能避免浏览器在编码识别上出现歧义，减少潜在的安全漏洞触发可能——毕竟浏览器的编码自动识别逻辑如果出现偏差，可能被恶意利用来篡改页面内容或执行恶意脚本。

关于验证器警告与编码异常问题 #

像W3C验证器这类工具，会因为省略该标签抛出如下警告：

The character encoding was not declared

并且会默认用windows-1252处理文档。如果你的站点包含windows-1252不支持的字符（比如一些特殊符号、非西欧语言字符），就会出现乱码或显示异常。

这种情况不只是旧浏览器才会发生：即使是现代浏览器，当服务器没有通过HTTP头明确声明编码时，浏览器会尝试自动检测编码。如果页面内容里的字符特征不够明显，浏览器可能误判为windows-1252，导致乱码。

结论 #

哪怕不兼容旧浏览器，也建议保留<meta charset="UTF-8">：

• 它是HTML5规范要求的声明方式，能确保编码识别的一致性；
• 避免验证器警告，符合标准的页面更易维护；
• 消除编码自动识别带来的潜在安全和显示问题，尤其是当服务器HTTP头没有正确设置编码时，这个meta标签能作为可靠的兜底方案。

内容的提问来源于stack exchange，提问作者Porter