Layui 不内置 SRI 支持，需手动为 和 标签添加 integrity 与 crossorigin="anonymous"；官方 CDN 资源哈希易因重定向、压缩、BOM 等失效，须用模拟浏览器请求（curl -sL -A "Mozilla/5.0"）计算真实哈希；动态加载模块（如 laydate）不支持 SRI，仅初始入口文件可校验。
layui 本身不内置 SRI 支持，所有静态资源（layui.css、layui.js、图标字体等）必须手动加 integrity 和 crossorigin="anonymous" 才能生效；但直接硬编码进 HTML 或 JS 模板极易出错，尤其当 CDN 版本更新或构建产物路径含哈希时，SRI 会静默失效。
为什么 layui 官方 CDN 的资源不能直接抄 hash？
官方文档或示例里给的 integrity 值往往过期或不匹配真实响应体——CDN 可能：重定向到不同 URL、启用 Brotli/gzip 压缩、返回带 BOM 的 UTF-8 文件、甚至按 User-Agent 返回不同内容。本地用 curl https://unpkg.com/layui@2.9.12/dist/css/layui.css 算出的哈希，和浏览器实际加载的字节流大概率不一致。
- 必须用
curl -sL+-A "Mozilla/5.0"模拟浏览器请求，确保拿到解压后的真实明文 - 推荐命令：
curl -sL -A "Mozilla/5.0" https://unpkg.com/layui@2.9.12/dist/css/layui.css | openssl dgst -sha384 -binary | openssl base64 -A - 别信在线生成器（如 srihash.org），它们无法控制 UA、重定向、压缩协商，出问题难定位
如何给 layui.css 和 layui.js 正确添加 integrity + crossorigin？
只对 和 <script></script> 标签有效，其他位置（如 、
<script src="https://unpkg.com/layui@2.9.12/dist/layui.js" integrity="sha384-yyy" crossorigin="anonymous"></script>- 绝对不要只写
crossorigin不带值，或拼错成crossorigin="anonymouse"——浏览器静默忽略校验，连 warning 都不报 - 如果用了
crossorigin="use-credentials"，后端必须返回Access-Control-Allow-Credentials: true和明确的Access-Control-Allow-Origin（不能是*），否则请求直接失败
动态加载的 layui 模块（如 laydate、laypage）怎么加 SRI？
layui 的模块是通过 layui.use() 动态加载的，底层走的是 XMLHttpRequest 或 fetch()，**SRI 不支持这类加载方式**。你给 laydate.js 的 CDN 地址加 integrity 属性毫无意义。
- 真正有效的只有初始 HTML 中显式声明的
<script></script>和 - 模块文件若必须外链，唯一办法是：提前下载到自己服务器，用构建脚本统一计算哈希并注入 HTML —— 例如 Webpack 用户可用
webpack-subresource-integrity插件 - 更现实的做法：放弃对动态模块做 SRI，转而用 CSP 的
script-src限制可执行域，或自建代理 CDN 并开启 Origin Shield + TLS 双向认证
常见失效现象与快速验证法
SRI 失效时浏览器不会中断渲染、不抛异常、不触发 onerror，只会丢弃资源并在 Console 输出一条 warning 级日志：Failed to find a valid digest in the 'integrity' attribute——但它默认被过滤掉。
- 打开 DevTools → Console → 右上角 Filter → 勾选「Warnings」
- 检查 Network 面板对应请求的 Response Headers：确认有
Access-Control-Allow-Origin: *，且Content-Encoding是空或identity（非gzip/br） - 手动改一个字符进
integrity值，看是否真报 warning；不报就说明crossorigin没生效或标签类型不支持 - 用
file://协议打开页面时，SRI 全面禁用——必须走http://或https://
最易被忽略的一点：SRI 对 layui 这类依赖大量动态加载的 UI 框架，防护边界其实很窄——它只保得住初始入口文件，保不住后续模块、图标字体、甚至主题 CSS。想真正落地，得配合构建时自动化哈希注入 + 自建可信分发链路，而不是靠手工补几个属性。
