Subresource Integrity (SRI): защита сторонних скриптов

Коротко: Subresource Integrity позволяет браузеру проверить, что загружаемый извне файл (скрипт или таблица стилей) по-прежнему именно тот, которого вы ожидаете. Если он изменён, браузер его не загружает.

Проблема

Кто встраивает скрипт с чужого сервера (CDN), слепо доверяет этому серверу. Если его взломают, в скрипт будет добавлен вредоносный код, который выполнится на вашей странице.

Как помогает SRI

В тег скрипта вы записываете ожидаемый хеш файла (integrity="sha384-..."). Браузер скачивает файл, вычисляет его хеш и блокирует, если они не совпадают.

См. также: Content Security Policy, хеширование