Subresource Integrity (SRI): захист сторонніх скриптів

Коротко: Subresource Integrity дозволяє браузеру перевірити, що завантажуваний ззовні файл (скрипт чи таблиця стилів) досі саме той, якого ви очікуєте. Якщо його змінено, браузер його не завантажує.

Проблема

Хто вбудовує скрипт із чужого сервера (CDN), сліпо довіряє цьому серверу. Якщо його зламають, у скрипт буде додано шкідливий код, який виконається на вашій сторінці.

Як допомагає SRI

У тег скрипта ви записуєте очікуваний хеш файла (integrity="sha384-..."). Браузер завантажує файл, обчислює його хеш і блокує, якщо вони не збігаються.

Див. також: Content Security Policy, хешування