如何以最低安全风险搭建展示固定查询参数值的静态页面

直接用你团队现有后端技术栈的原生HTTP能力实现即可，完全不需要引入前端框架、不需要单独编写前端页面，代码量极少，安全边界清晰无隐患。

核心实现步骤 #

• 路由绑定/mypage路径，仅接受GET请求
• 响应头强制设置Content-Type: text/plain; charset=utf-8，这是安全层面的核心配置：浏览器识别到该响应头后，会把所有返回内容当做纯文本渲染，哪怕参数值里包含<script>、HTML标签、各类XSS攻击载荷，都会被原样展示为文本，完全不会被解析执行，不需要编写任何参数过滤、内容转义逻辑
• 仅读取Query参数中的key1、key2两个固定字段，其余所有无关参数直接忽略
• 按照你需要的展示格式直接拼接纯文本内容返回即可，示例返回内容格式：

流程处理完成
key1对应值：{读取到的key1原始值}
key2对应值：{读取到的key2原始值}

• 增加一层来源校验：判断请求来源是否为你方固定自有域名，不符合的请求直接返回403状态码，匹配你提到的访问来源固定的前提。

方案优势 #

• 开发成本极低：无论你团队现有后端使用Go/Java/Python/PHP/Node.js哪种技术栈，原生HTTP能力都原生支持上述逻辑，单接口代码量不超过20行，不需要搭建前端工程、不需要引入第三方依赖、不需要编写HTML/CSS/JS代码
• 安全性有保障：从浏览器解析层面彻底堵死XSS注入风险，比人工梳理过滤规则的可靠性高得多，不会出现规则遗漏导致的安全漏洞
• 体验符合要求：纯文本响应体积极小，加载速度极快，不需要额外美化样式，完全满足内容展示需求。

内容的提问来源于stack exchange，提问作者gigi2