src="hacker.website">,就会被第一条CSP拦截,很有趣的技巧。需要注意的是,这个点只能插入70个字符。jqery的append引入的,在article.js这个文件中。$("body").append((effects[$("#effect").val()]));});如果我们可以覆盖effects变量,那我们就可以向body注入标签了,这里需要一点小trick。name=effects>这个标签。