safari 中可通过「隐私」设置启用“阻止跨网站跟踪”和“防止指纹识别跟踪”，并在「网站」页为高风险站点单独禁用 javascript；同时需清理可疑扩展、限制系统脚本执行权限，并配合网络层防护拦截恶意域名。
macOS 本身不直接执行网页脚本，所以它不会“运行”跨站脚本（XSS）或 SQL 注入这类攻击——这些是浏览器或服务端的问题。但 macOS 用户主要通过 Safari、Chrome 等浏览器接触网页内容，因此防范重点落在浏览器层防护 + 系统级辅助加固上，目标是阻断恶意脚本执行、限制其能力、防止被用作注入跳板。
一、在 Safari 中启用严格隐私与脚本拦截
Safari 是 macOS 原生深度集成的浏览器，其内置机制对 XSS 类攻击有较强抑制作用：
- 打开 Safari → 顶部菜单栏点击「Safari」→「设置」→ 切换到「隐私」标签页
- 勾选「阻止跨网站跟踪」：限制第三方 Cookie 和追踪器，大幅降低恶意广告或钓鱼页面通过跟踪脚本窃取上下文信息的可能性
- 勾选「防止指纹识别跟踪」：阻止网站通过 Canvas、WebGL 等 API 收集设备唯一标识，削弱定向攻击基础
- 在「网站」标签页中，可为高风险站点（如登录页、银行页）单独关闭 JavaScript：点击左侧站点 → 右侧「JavaScript」下拉选「拒绝」
注意：全局禁用 JavaScript 会影响多数现代网站功能，建议仅对可信度低的临时页面手动关闭。
二、禁用不必要插件与扩展，切断脚本注入入口
恶意浏览器扩展常伪装成工具，实则注入脚本、劫持表单或重写页面 DOM：
- Safari →「设置」→「扩展」→ 检查每个已启用扩展的开发者名称（优先保留 Apple 官方或知名开源项目，如 1Password、Dark Reader）
- 删除来源不明、权限宽泛（如“读取和更改所有网站数据”）或长期未更新的扩展
- 对 Chrome / Edge 用户：进入
chrome://extensions或edge://extensions，关闭“允许访问文件网址”选项，防止本地 HTML 文件被恶意扩展读取并注入
三、加固系统环境，限制脚本类工具滥用
部分攻击会诱导用户下载 .sh、.py 或 AppleScript 脚本执行，再利用其权限发起 DOM 注入或中间人操作：
- 进入「系统设置」→「隐私与安全性」→「安全性」→ 确保「允许从以下位置下载的应用」设为「App Store 和已确认的开发者」
- 不要为 Shell 脚本或 Python 文件赋予执行权限，除非明确知晓来源：终端中避免直接运行
chmod +x script.sh && ./script.sh，应先用cat script.sh查看内容 - 关闭非必要「完全磁盘访问」权限：「系统设置」→「隐私与安全性」→「完全磁盘访问」→ 取消勾选终端、脚本编辑器、下载管理器等工具的权限（除非工作必需）
四、配合网络层防护，阻断恶意域名加载
即使脚本未执行，加载来自恶意 CDN 的 JS 文件本身已是风险：
- 启用 Microsoft Defender for Endpoint 的「网络保护」功能（需订阅 Defender Business 或 XDR），它会在 TLS 握手阶段拦截已知恶意域名的 HTTPS 请求，覆盖 Safari、Chrome、Edge 等所有主流浏览器
- 或使用本地 DNS 加密工具（如 dnscrypt-proxy），配置黑名单规则（例如屏蔽
cdn[0-9]+\.malware-domain\.xyz），从源头阻止恶意资源解析
不复杂但容易忽略
