配置Tor Browser的NoScript插件可有效防止恶意脚本攻击，保护隐私安全。首先通过盾牌图标管理脚本执行，默认阻止所有脚本并仅临时或永久允许可信域名；接着在设置中启用高级防护，如禁用动态iframe、WebGL及剪贴板脚本，同时开启ABE规则防御内网探测；然后在HTTPS选项卡中启用全局升级、阻止混合内容并防范SSL剥离；最后合理使用临时授权，避免放行第三方脚本，并定期清除会话权限以确保环境清洁。
如果您在使用洋葱浏览器（Tor Browser）时希望增强对恶意脚本的防护能力，避免潜在的隐私泄露或主动攻击，配置其内置的NoScript插件是关键步骤。以下是确保您安全浏览的操作指南：
一、理解NoScript的基本作用
NoScript是一个强大的浏览器扩展，用于控制网页中JavaScript、Java、Flash等可执行内容的运行。在洋葱浏览器中，默认已集成该插件，其主要目的是防止恶意脚本获取您的真实IP地址或利用漏洞进行指纹识别和攻击。
1、启动洋葱浏览器后，点击浏览器右上角的NoScript图标（盾牌形状），查看当前页面被阻止的脚本列表。
2、默认情况下，所有站点的脚本均被阻止，仅允许通过Tor网络验证的安全脚本运行。
3、若需临时允许某个域的脚本执行，请在NoScript菜单中选择该域名并点击“允许”。
4、对于长期信任的.onion服务，可通过“永久允许”选项将其加入白名单，但必须确认该站点身份可信。
二、配置高级安全级别
通过调整NoScript的信任等级，可以进一步限制脚本行为，减少跨站攻击风险。建议普通用户采用中高安全设置以平衡功能与隐私保护。
1、点击NoScript图标，选择“选项”进入配置面板。
2、在“常规”标签页下，勾选“禁止动态创建iframe”和“禁止WebGL”以防范隐蔽渲染攻击。
3、切换到“嵌入式内容”选项卡，取消勾选“允许脚本粘贴到剪贴板”，防止恶意页面窃取复制信息。
4、在“ABE（Application Boundaries Enforcer）”部分启用规则集，阻止外部域对本地网络资源（如192.168.x.x）的探测请求。
三、启用强制HTTPS与混合内容拦截
NoScript可配合Tor Browser的HTTPS-Only模式，确保通信加密并阻止不安全的内容加载，从而防止中间人篡改或降级攻击。
1、进入NoScript设置中的“HTTPS”选项卡，开启“全局HTTPS升级”功能。
2、勾选“阻止不安全的混合内容”，使浏览器拒绝在加密连接中加载HTTP资源。
3、启用“防止SSL剥离”选项，防御攻击者将HTTPS请求重定向至HTTP的尝试。
4、定期检查“已知不支持HTTPS”的站点列表，并根据需要更新例外规则。
四、管理可信站点与临时授权
为避免过度阻断正常功能，合理管理脚本授权至关重要。应尽量避免永久放行不明来源站点，优先使用临时授权机制。
1、当访问一个功能性网站时，若页面显示异常，点击NoScript图标查看被阻止的脚本源。
2、对明确来自同一域名的脚本选择“此会话允许”，实现一次性启用。
3、绝不授权未知第三方域（如广告或分析服务）的脚本执行权限。
4、使用“清除所有临时权限”按钮定期重置会话状态，特别是在完成敏感操作后。
