网页引用外部脚本或样式时，可以用integrity属性提供预期摘要，让浏览器核对收到的资源。这个机制关注内容是否匹配预期版本，不能替代对该版本代码本身的审查。
摘要要对应实际文件内容
资源内容变化后，旧摘要会不再匹配，浏览器可能阻止使用。版本更新应一起核对资源URL和摘要，不能为了恢复加载就直接删除完整性检查。压缩或构建产物不同，也要确认摘要来自最终使用的文件。
跨源资源还要满足CORS条件
跨源使用SRI需要资源服务器提供合适的CORS响应，并正确设置元素的crossorigin属性。加载失败时同时查看网络错误、摘要和跨源配置，不能把所有失败都当作文件遭到篡改。
用固定无害资源测试两种结果
在自有测试环境准备正确摘要和故意不匹配摘要，分别确认正常加载与阻止行为。初始文件若本来就不可信，摘要只会固定这份不可信内容。本文是配置理解与验收思路，没有修改本站脚本或加载第三方测试代码。
资料与继续学习
MDN：子资源完整性SRI。资料查阅日期：2026年10月6日。步骤与练习由本站整理。
资料查阅与编辑日期：2026年10月6日。作者：玖柒。
© 版权声明
文章版权归作者所有，未经允许请勿转载。
THE END
