外观
安全须知
374字约1分钟
2026-10-20
本页目标
地图项目里最容易忽略的安全点：Popup/DIV 的内容注入、第三方 Key 泄露、跨域配置，以及离线数据的版权。
1. Popup / DIV 内容注入（XSS）
Popup、Tooltip、DivGraphic 支持传入 HTML。如果把用户输入直接拼进 HTML，存在 XSS 风险：
不推荐
graphic.bindPopup("<b>" + userInput + "</b>")推荐：只渲染可信内容，或对用户输入做转义后再拼接。
2. 第三方 Key / Token 不要硬编码在前端
高德、百度等服务的 Key 如果写在前端代码并提交到公开仓库，会被他人盗用。建议：
- 放到后端代理，前端只调用自己的接口。
- 或使用环境变量，并在构建时注入，不要把 Key 写进源码。
- 参考第3方 Token 配置。
3. 跨域配置要收敛
- 不要简单使用
Access-Control-Allow-Origin: *暴露敏感服务。 - 按需配置允许的域名，并区分读写权限。
- 详见跨域问题。
4. 离线数据与版权
- 使用第三方影像/矢量数据前，确认授权范围。
- 离线部署时，瓦片服务地址与鉴权要一并规划。