HTML5的Integrity属性用于验证加载的外部资源（如CSS、JavaScript文件）是否被篡改或损坏。它通过校验哈希值来确保资源的完整性，防止中间人攻击或恶意修改。 验证方式是：在引入外部资源时，使用`integrity`属性指定该资源的加密哈希值（如SHA-256、SHA-384等）。浏览器在加载资源前会计算其哈希值，并与指定的哈希值进行比对。如果匹配，资源才会被加载；否则，浏览器会

哈喽！大家好，很高兴又见面了，我是golang学习网的一名作者，今天由我给大家带来一篇《HTML5的Integrity属性用于验证加载的外部资源（如CSS、JavaScript文件）是否被篡改或损坏。它通过校验哈希值来确保资源的完整性，防止中间人攻击或恶意修改。 验证方式是：在引入外部资源时，使用`integrity`属性指定该资源的加密哈希值（如SHA-256、SHA-384等）。浏览器在加载资源前会计算其哈希值，并与指定的哈希值进行比对。如果匹配，资源才会被加载；否则，浏览器会阻止加载该资源，从而保障网站的安全性。》，本文主要会讲到等等知识点，希望大家一起学习进步，也欢迎大家关注、点赞、收藏、转发! 下面就一起来看看吧！

Subresource Integrity（SRI）通过验证外部资源的完整性来提升前端安全性。1. 它防止CDN劫持或篡改，确保从外部加载的资源未被修改；2. 防御供应链攻击，避免因依赖库被植入恶意代码而受影响；3. 减少人为失误带来的风险，如错误版本上传至CDN。SRI通过在HTML标签中添加integrity和crossorigin属性实现，浏览器会比对资源哈希值，不匹配则拒绝加载。虽然SRI提升了安全性，但也存在维护成本高、需指定固定版本、错误处理复杂等挑战，需通过自动化流程应对。

HTML5的integrity属性，准确地说，是Subresource Integrity（SRI）的一部分，它的核心作用是为你的网页引入的外部资源（比如CDN上的JavaScript库或CSS样式表）提供一个安全校验机制。简单讲，就是确保你从外部加载进来的文件，在传输过程中没有被恶意篡改过。浏览器会计算下载资源的哈希值，并与你预设的哈希值进行比对，如果不一致，这个资源就会被浏览器拒绝加载，从而大大降低了供应链攻击的风险。

解决方案

要验证资源完整性，你需要在使用

对于CSS样式表：

crossorigin="anonymous"是必不可少的，它表示在发送跨域请求时，不携带用户凭证（如cookies、HTTP认证证书等）。这不仅是SRI的要求，也是一种安全最佳实践，避免了不必要的凭证泄露。

在实际项目中，特别是大型项目，你不会手动去生成这些哈希值。通常会集成到你的构建工具链中，比如Webpack、Rollup的插件，或者CI/CD流程中的脚本，在每次发布新版本时自动计算并更新这些哈希值。这样才能确保哈希值与资源内容始终保持同步。

Integrity属性的局限性与实施挑战有哪些？

虽然SRI非常强大，但它并非银弹，实施起来也确实存在一些挑战和局限性。这些是我在实际项目中遇到过，或者思考过的点：

• 维护成本： 这是最直接的挑战。只要你引用的外部资源内容有任何微小改动（哪怕只是一个空格或注释），它的哈希值就会完全改变。这意味着你每次更新CDN上的JS或CSS文件，都必须同时更新HTML中对应的integrity哈希值。对于频繁更新的库或者组件，手动维护几乎是不可能的，必须依赖自动化构建流程。如果自动化做得不够好，很容易出现哈希不匹配导致资源加载失败的问题。

• 版本管理： 很多CDN会提供不同版本的资源路径，例如jquery/3.6.0/jquery.min.js。如果你直接引用最新版本（jquery/latest/jquery.min.js），那么integrity属性就失去了意义，因为latest指向的文件内容会随时变化。SRI要求你引用的是一个内容固定不变的资源，这意味着你必须指定具体的版本号。这可能与一些项目追求“始终使用最新版本”的策略相冲突，需要在安全性与便利性之间做权衡。

• 错误处理： 当SRI校验失败时，浏览器会阻止资源加载，并在控制台报错。虽然这是预期行为，但对于终端用户来说，页面功能可能会受损。你需要有完善的监控和日志系统来捕获这些错误，以便及时发现并解决问题。

• 开发环境的复杂性： 在开发阶段，我们可能经常修改本地文件，或者使用本地代理。这时如果开启了SRI校验，就可能导致资源加载失败，因为本地修改后的文件哈希值与HTML中预设的不符。通常的做法是在开发环境禁用SRI，或者有专门的开发模式来处理。

• 非CDN资源： SRI主要针对从CDN等第三方源加载的资源。对于同源的资源，或者通过其他方式（如内联脚本）加载的资源，SRI并不适用。

尽管有这些挑战，但我认为SRI带来的安全收益是巨大的，远超其维护成本。只要在项目初期就规划好自动化流程，并理解其工作原理和局限性，SRI绝对是你前端安全策略中不可或缺的一环。它迫使我们对外部依赖保持一种健康的“怀疑”态度，并采取实际行动来验证它们的完整性。

好了，本文到此结束，带大家了解了《HTML5的Integrity属性用于验证加载的外部资源（如CSS、JavaScript文件）是否被篡改或损坏。它通过校验哈希值来确保资源的完整性，防止中间人攻击或恶意修改。 验证方式是：在引入外部资源时，使用`integrity`属性指定该资源的加密哈希值（如SHA-256、SHA-384等）。浏览器在加载资源前会计算其哈希值，并与指定的哈希值进行比对。如果匹配，资源才会被加载；否则，浏览器会阻止加载该资源，从而保障网站的安全性。》，希望本文对你有所帮助！关注golang学习网公众号，给大家分享更多文章知识！