integrity 和 crossorigin 必须同时存在，缺一不可；仅写 integrity 不触发校验，因 sri 强制依赖 cors 流程，crossorigin="anonymous" 是公开 cdn 的正确取值，哈希须基于线上真实响应体生成，且仅对 和 生效。
integrity 和 crossorigin 必须同时写，缺一不可
只写 integrity 属性，浏览器根本不会校验——它连响应体都读不到，更别说比对哈希。这不是 bug，是规范强制要求：SRI 校验必须走 CORS 流程，而 crossorigin 就是触发该流程的开关。
常见错误写法：<script src="https://cdn.jsdelivr.net/npm/react@18/umd/react.production.min.js" integrity="sha384-..."></script> —— 漏掉 crossorigin，integrity 形同虚设，控制台零提示，脚本照常执行。
-
crossorigin="anonymous"是公开 CDN（如 jsDelivr、unpkg、cdnjs）的唯一正确取值；不带 Cookie，兼容性好，服务端只需返回Access-Control-Allow-Origin: * -
crossorigin="use-credentials"极少用，仅当你自己的后端要求鉴权访问静态资源时才考虑，且服务端必须同步返回Access-Control-Allow-Credentials: true和明确域名的Access-Control-Allow-Origin（不能是*） - 写成
crossorigin=""在 Chrome 中等价于anonymous，但 Firefox 解析更严格，建议始终显式写crossorigin="anonymous"
哈希值必须从线上真实响应体生成，不是本地文件
你本地 npm install 下来的 react.production.min.js，和 CDN 实际返回的字节流，哪怕只差一个 BOM 或换行符，哈希就完全不匹配。gzip/Brotli 压缩、重定向跳转、CDN 缓存策略都会导致差异。
可靠命令（确保与浏览器行为一致）：curl -sL https://cdn.jsdelivr.net/npm/react@18/umd/react.production.min.js | openssl dgst -sha384 -binary | openssl base64 -A
-
-sL：静默 + 跟随重定向，拿到浏览器最终加载的响应体 -
openssl dgst -sha384 -binary：输出二进制哈希，不是 hex；浏览器校验的就是这个格式 -
openssl base64 -A：Base64 编码（不是 hex），结果形如sha384-AbCdEf... - 别信在线工具（如 srihash.org）——它无法控制重定向链、压缩协商或 BOM，出问题难复现
只对 <script></script> 和 <link rel="stylesheet"> 生效
integrity 是 W3C 明确定义的机制，浏览器只在 HTML 解析阶段对这两类静态标签做校验。其他所有写法，无论加不加 integrity，全被忽略。
-
<script>console.log()</script>（内联脚本）：无效 -
<img src="..." integrity="...">、<iframe src="..." integrity="..."></iframe>：浏览器完全无视 -
<link rel="icon">、<link rel="preload">：不支持 -
document.createElement('script')后手动设src和integrity：不校验，只认 HTML 原始解析阶段的静态标签 - 动态
import()或fetch()加载的脚本：SRI 规范未覆盖
校验失败时的表现很隐蔽，容易误判
SRI 失败不会触发 onerror，也不会阻塞页面渲染（CSS 失败尤其难察觉），只会静默丢弃资源。JS 失败可能导致白屏或功能异常，CSS 失败只是样式错乱。
- 控制台只报一条模糊 warning：
Failed to find a valid digest in the 'integrity' attribute—— 它可能被其他日志淹没，也可能因过滤器被隐藏 - 真正校验失败且不匹配时，报错是：
The resource <url> was blocked because integrity check failed</url> - 开发环境用
file://协议打开页面：SRI 被浏览器完全禁用，一律报上述 warning，和线上行为不同 - 上线前务必手动删掉
integrity值测试：如果删了反而功能正常，说明之前 SRI 已经在拦你，只是你没发现
crossorigin 漏写、哈希没用线上真实响应体算、或者把 integrity 错加到 <img> 上——这三处一错，安全防线就彻底失效，还毫无感知。前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
