chrome自2020年起已彻底移除xss auditor，当前版本无原生xss拦截功能；唯一内置防护是增强型安全浏览，可协同服务端拦截已知反射型xss；开发者可通过csp头本地审计或启用strict site isolation限制xss横向利用。
你想在谷歌浏览器中主动识别并拦截跨站脚本（XSS）攻击行为，但Chrome自2020年起已彻底移除XSS Auditor模块，当前版本不再提供原生、用户可开关的XSS审计拦截功能；所有所谓“开启XSS Auditor”的教程均基于过时信息或实验性残留接口，直接操作可能无效甚至误导。
确认XSS Auditor已不可用
打开chrome://settings/security，检查“安全浏览”设置项——此处仅提供增强型保护级别，无任何XSS专用开关。
在地址栏输入chrome://version，查看“Command Line”字段：若未出现--xss-auditor相关参数，则说明该机制未启用且无法通过常规方式激活。
【XSS Auditor在Chrome 88+版本中已被永久删除，所有依赖它的防护逻辑均已下线】。试图通过chrome://flags启用xss-auditor标志将返回“Not found”，该条目在2026年最新稳定版中已完全消失。
启用增强型安全浏览（唯一内置联动防护）
该模式不拦截XSS本身，但会向Google威胁数据库上报页面结构异常与脚本行为特征，对已知反射型XSS载荷（如含document.cookie外传的<script>标签）触发服务端协同拦截。</script>
点击右上角三点菜单→设置→隐私和安全→安全→安全浏览→选择“增强型保护”。
系统会提示“Chrome会向Google发送部分网址、下载文件信息及页面脚本哈希值”，点击启用即生效，无需重启。
临时注入CSP头进行本地审计（开发者验证用）
此方法不改变浏览器配置，仅在当前标签页强制添加content-security-policy-report-only头，用于检测页面是否存在违反CSP的内联脚本执行行为。
方法一：控制台注入
打开目标网页→按F12→切换到Console面板→粘贴执行：document.querySelector('head').innerHTML += '<meta http-equiv="Content-Security-Policy-Report-Only" content="default-src \'self\'; script-src \'self\' \'unsafe-inline\' \'unsafe-eval\'; report-uri /csp-report">';
刷新页面后观察Console是否出现红色csp-violation警告——若有，说明存在未经许可的内联脚本插入点，属高风险XSS上下文。
方法二：Network面板手动修改响应头（需配合本地代理或调试服务器）
在Network面板中右键目标HTML请求→“Copy”→“Copy as fetch”，粘贴至Console并修改headers对象，加入Content-Security-Policy-Report-Only字段后再执行fetch。
启用Strict Site Isolation强化进程隔离（阻断XSS横向利用）
第一步：在地址栏输入chrome://flags并回车。
第二步：搜索strict site isolation，找到“Strict site isolation”选项，将其设为Enabled。
第三步：搜索enable network service sandbox，将“Enable network service sandbox”设为Force-enabled。
第四步：关闭所有Chrome窗口，重新启动浏览器。
第五步：访问chrome://processes，检查每个网站是否运行在独立渲染器进程中——若同一域名多个标签页共享一个进程，说明隔离未生效。
【必须完成重启，否则Strict Site Isolation不会加载】。未重启时chrome://sandbox页面中“Site Isolation”状态仍显示“Disabled”。
