为了客服、统计、营销，官网几乎都会挂第三方脚本。方便归方便，这些外链脚本也是最常见的「供应链攻击入口」之一。
## 一、第三方脚本能做什么
一段统计或客服代码，本质是有权读写你页面的。它一旦被篡改或本身作恶，就能注入恶意内容、窃取表单数据、劫持跳转。你信任它，访客也跟着信任了它。
## 二、被篡改不是小概率
第三方服务商被黑、CDN 节点被污染、域名过期被抢注，都能让那段「你信任的代码」变成攻击载体。去年行业里这类事件并不少。
## 三、收敛与隔离是关键
能不挂的脚本不挂，必须挂的选口碑稳的服务商，并对脚本做来源校验与加载隔离。无关域名不要随意放行。
## 四、上线前要有审查
新增任何外部脚本，先看它从哪来、加载什么、有没有签名校验。我们做安全托管会把第三方脚本纳入审查范围，不留裸奔入口。
第三方脚本是双刃剑，用得克制、管得清楚，才不至于把自家大门钥匙交给别人。
—
担心网站安全、怕被黑被挂马？安全防御 / SSL 托管 / 网站加速我们都能接。微信 jeans2045、QQ 361611074，先聊再给方案。