anchor.diff:    `Content-Security-Policy` HTTP header.
   
     [内容安全策略(CSP)](https://developer.mozilla.org/en-
  -  US/docs/Web/Security/CSP/Introducing_Content_Security_Policy)是用来阻止XSS的深度防御技术。
  +  US/docs/Web/Security/CSP/Introducing_Content_Security_Policy)是用来防范XSS的纵深防御技术。
     要打开CSP，请配置你的Web服务器，让它返回合适的HTTP头`Content_Security_Policy`。
   
     <a id="offline-template-compiler"></a>
  
positive.code:   Interpolated content is always escaped - the HTML is not interpreted, and the browser displays
    angle brackets in the elements text content.
  
    插值表达式的内容总会被编码 - 其中的HTML不会被解释，而浏览器会在元素的文本内容中显示尖括号。
  
    For the HTML to be interpreted, we must bind to an HTML property, such as `innerHTML`. But binding
    a potentially attacker controlled value into `innerHTML` would normally cause an XSS
  
negative.code: 
    有时候，应用程序确实需要包含可执行的代码，比如使用URL显示`<iframe>`，或者构造出有潜在危险的URL。
    为了防止在这种情况下被自动无害化，你可以告诉Angular：我已经审查了这个值，检查了它是怎么生成的，并确信它总是安全的。
    但是**千万要小心**！如果你信任了一个可能是恶意的值，就会在应用中引入一个安全漏洞。如果你有疑问，请找一个安全专家复查下。
  
    You can mark a value as trusted by injecting `DomSanitizationService`, and calling one of the
    following methods.
  