html制作integrity完整性校验_html integrity子资源SRI完整性校验【教程】-html教程-PHP中文网

加了integrity属性不等于资源被校验——仅script和link[rel="stylesheet"]生效，且必须与crossorigin成对出现；漏写或写错crossorigin会导致校验被跳过，哈希比对根本不会触发。

html制作integrity完整性校验_html integrity子资源sri完整性校验【教程】

加了 integrity 属性，不代表资源真被校验了——它只在 <script></script> 和 <link rel="stylesheet"> 上生效，且必须和 crossorigin 成对出现，否则浏览器直接跳过校验，连错误都不报。

为什么加了 integrity 却没拦截篡改的 JS？

最常见原因是漏写或写错 crossorigin。浏览器看到 integrity 后会强制走 CORS 请求流程，但若没声明 crossorigin，或 CDN 响应头缺失 Access-Control-Allow-Origin，浏览器拿不到完整响应体，哈希比对根本不会触发。

crossorigin="anonymous" 是绝大多数公开 CDN（如 jsDelivr、cdn.jsdelivr.net）的正确取值
crossorigin="use-credentials" 仅当你自己的后端要求带 Cookie 访问静态资源时才用，且后端必须返回 Access-Control-Allow-Credentials: true 和明确的 Access-Control-Allow-Origin（不能是 *）
控制台不会提示“crossorigin 缺失”，只会安静地加载资源，integrity 形同虚设

integrity 值怎么生成才不翻车？

哈希必须基于目标 URL 实际返回的响应体计算，不是你本地保存的文件，也不是 HTML 里写的路径内容。CDN 可能重定向、压缩、加 BOM、甚至返回不同编码的 UTF-8 —— 这些都会让本地算的哈希失效。

anything-to-html

将调研报告、方案对比、数据分析、需求梳理、会议纪要、设计说明、代码评审、学习笔记等任务产物输出为可在浏览器直接打开的单文件 HTML，替代 Markdown 作为最终交付物。Markdown 在信息密度、视觉清晰度和可分享性上已跟不上 AI 产物的丰富度，HTML 能同时承载排版、表格、SVG 等。

下载

推荐命令：curl -sL https://cdn.example.com/lib.js | openssl dgst -sha384 -binary | openssl base64 -A（-sL 确保跟随重定向并静默输出）
算法优先选 sha384：比 sha256 抗碰撞更强，主流 CDN 默认支持
哈希值必须是 base64 编码后的字符串，不能是 hex 原始串（比如不能写 sha256-abc123，得是 sha256-AbCdEf）
在线工具（如 srihash.org）方便，但出问题时难排查细节（比如是否处理了重定向、BOM）

哪些标签支持 SRI？哪些写了也白写？

SRI 是 W3C 明确定义的机制，只作用于两类标签：<script></script> 和 <link rel="stylesheet">。其他所有加载方式都不受保护，写了 integrity 也没任何效果。

<img src="" integrity="">：浏览器完全忽略，不校验也不报错
<iframe src=""></iframe> 或 fetch() 动态加载：SRI 规范未覆盖，无法启用
document.createElement('script') 并手动设置 src 和 integrity：浏览器不校验，只认 HTML 解析阶段的静态标签
内联脚本（<script>console.log()</script>）：integrity 属性无效