如果页面返回403或拒绝执行脚本，说明防守成功。

方法三：在线扫描工具

使用 free 的在线XSS扫描（如 Mozilla Observatory）测试网站评级，观察是否有XSS漏洞告警。

总结

以上三条防线由浅入深，新手先从面板防火墙入手，熟悉后再添加CSP头部和参数过滤。
每增加一条规则请及时验证，避免影响正常用户。
如果你正在处理宝塔面板防跨站脚本XSS攻击，建议从准备工作开始，按顺序执行一遍。
遇到异常时先回顾避坑部分，通常问题出在白名单遗漏或语法错误。