csdn 的 cdn 被挂马，这种 cdn 污染一般是怎么实现和避免的？

给个截图

是不是 csdn 社区那个？

一般都是文件上传校验被绕过了，因此做文件上传一定要严格的校验，目前大多数的平台文件上传都只是简单的校验，例如校验文件类型、后缀名。这两个校验是很容易轻易被绕过，因此可以轻松将 js 、html 、svg 、xhtm 、xhtml 、shtml 、xml 等文件传上去。如需加强，还需校验二进制内容，文件头信息，元信息等，才能达到安全的水准。

怀疑是回源路上传输错误或者被劫持

可以试试，内容安全策略（ CSP ）屏蔽前端脚本劫持。