chrome无xss专用开关，其防护依赖弃用的xss auditor、csp强制执行、strict dynamic及增强型安全浏览；五种强化路径包括启用增强型保护、临时注入csp头审计、启用flags实验性xss审核器、hosts拦截靶场域名、安装ublock origin等扩展实施脚本隔离。
如果您在使用谷歌浏览器时希望主动识别并拦截跨站脚本（XSS）攻击行为，需知Chrome本身不提供用户可直接启用的XSS专用审计或拦截开关，其XSS防护机制深度集成于渲染引擎与安全浏览体系中，主要通过内置的XSS Auditor（已弃用）、Content Security Policy（CSP）强制执行、Strict Dynamic策略支持及增强型安全浏览联动实现。以下是可在客户端层面有效强化XSS防御能力的五种配置路径：
一、启用增强型安全浏览模式
该模式虽非专为XSS设计，但会实时向Google威胁数据库提交可疑页面结构与脚本行为特征，对已知XSS利用链（如反射型钓鱼载荷、恶意广告JS注入）触发主动拦截，并协同CSP报告机制增强检测覆盖。
1、点击浏览器右上角的三点菜单图标(⋮)。
2、从下拉菜单中选择“设置”。
3、在左侧导航栏中点击“隐私和安全”。
4、点击右侧出现的“安全”选项。
5、在“安全浏览”区域，选择增强型保护。
6、确认系统提示中关于网址与下载文件信息发送的说明，点击启用。
二、强制启用严格内容安全策略（CSP）报告模式
Chrome支持通过开发者工具临时注入CSP头以触发审计日志，适用于测试站点是否存在XSS漏洞；该方式不修改服务器配置，仅在当前标签页生效，用于本地验证防护强度。
1、打开目标网页后，按F12键调出开发者工具。
2、切换至“Console”面板。
3、输入以下命令并回车：document.querySelector('head').innerHTML += '';
4、刷新页面，观察“Console”中是否输出CSP violation报告。
5、若存在未授权内联脚本执行，将生成红色警告条目，标明被拦截的XSS尝试源。
三、启用开发者工具中的实验性XSS审核器（仅限桌面版）
Chrome Canary及部分Dev版本内置未公开的XSS审核实验功能，可通过flags启用，该功能在页面加载时扫描DOM节点中潜在的危险HTML插入点，并在“Issues”面板中标记高风险上下文。
1、在地址栏输入chrome://flags并回车。
2、在搜索框中输入关键词xss-auditor。
3、找到条目“Enable XSS Auditor”或“Enable XSS Detector”，将其状态设为Enabled。
4、点击页面底部的“重启浏览器”按钮。
5、重启后打开开发者工具，切换至“Issues”面板，检查是否存在XSS-related warning条目。
四、配置本地hosts与自定义DNS拦截已知XSS测试域名
通过阻断常见XSS漏洞利用平台（如xss-game.appspot.com、portswigger.net/web-security/xss等教学靶场域名），可防止误触或自动化脚本加载恶意payload，属于网络层前置过滤手段。
1、以管理员身份运行文本编辑器，打开系统hosts文件（Windows路径：C:\Windows\System32\drivers\etc\hosts；macOS/Linux路径：/etc/hosts）。
2、在文件末尾新增以下行：127.0.0.1 xss-game.appspot.com
3、另起一行添加：127.0.0.1 portswigger.net
4、保存文件并关闭编辑器。
5、在命令行中执行ipconfig /flushdns（Windows）或sudo dscacheutil -flushcache（macOS）清除DNS缓存。
五、安装并配置可信的安全扩展实施运行时脚本隔离
Chrome Web Store中经审核的扩展（如NoScript Security Suite替代方案uBlock Origin + CSP Analyzer）可在页面渲染后动态分析script标签与event handler属性，对含document.write、eval()、innerHTML赋值等高危模式的脚本执行静默拦截或灰度降权。
1、访问chrome://webstore/detail/ublock-origin/cjpalhdlnbpafiamejdnhcphjbkeiagm，点击“添加至Chrome”。
2、安装完成后，点击地址栏右侧uBlock图标，选择“仪表板”。
3、进入“过滤器列表”页，勾选“uBlock filters – Privacy”与“Malware domains”。
4、返回“仪表板”，点击“高级设置”，在“脚本注入”区域启用“阻止所有内联脚本”。
5、刷新任意网页，检查控制台是否出现“Blocked inline script execution”提示。
