子资源完整性
SRI — 加密哈希验证第三方资源完整性。
安全简单
技术栈组成
Attributeintegrity
为什么
防止篡改的 CDN 资源执行，浏览器强制。Verizon DBIR 2024：68% 的泄露涉及人为错误。
Snyk 和 Dependabot 扫描 50 万以上 npm 包的 CVE，OWASP Top 10 变化不大 — 注入和失效认证仍居 #1 和 #2。
何时使用
用于第三方脚本/样式。避免自托管资源。
如何做
1. 用 openssl 生成哈希
2. 添加 integrity 属性
3. 添加 crossorigin
4. 浏览器测试
5. 添加环境配置 — cp .env.example .env && 编辑值
6. 运行测试 — npm test 或 pnpm test 验证设置
7. 部署 — git push 触发 CI/CD 或手动部署
示例
<script src="https://cdn.example.com/lib.js"
integrity="sha384-oqVuAfXRKap7fdgcCY5UYk..." crossorigin="anonymous"></script>
// Subresource Integrity — 使用示例
import { SubresourceIntegrity } from "sec2-sri";
const result = await subresourceintegrity({ input: "data" });
console.log(result);
常见问题
- ⚠更新时哈希不匹配 — 重新生成
- ⚠CORS — 添加 crossorigin 属性
- ⚠环境间配置漂移 — 使用基础设施即代码（Terraform/Pulumi）保持 dev/staging/prod 一致
最佳实践
- ✓用 sha384 强哈希
- ✓构建中自动化哈希生成
- ✓设置健康检查和优雅关闭 — 处理 SIGTERM 以在退出前排空进行中的请求
常见问题解答
什么是子资源完整性？适合做什么项目？
SRI — 加密哈希验证第三方资源完整性。 它通过分层组合提供端到端类型安全与开箱即用的部署体验，适合从 MVP 到生产 SaaS 的快速迭代。
如何用子资源完整性在 10 分钟内跑通一个 demo？
两步起步：① 用 openssl 生成哈希；② 添加 integrity 属性。先跑通本地 dev server，再接一个真实数据源验证端到端链路。
子资源完整性 最常见的坑是什么？怎么避免？
最高频的坑是：更新时哈希不匹配 — 重新生成。避免方法：在 PR 模板里加入对应 checklist，CI 中跑类型检查 + lint + 单测，三重把关再合并。
子资源完整性 的最佳实践有哪些？
子资源完整性 的最佳实践包括：用 sha384 强哈希；构建中自动化哈希生成；设置健康检查和优雅关闭 — 处理 SIGTERM 以在退出前排空进行中的请求。其中首条「用 sha384 强哈希」应在项目初始化时就落地，避免后期返工。
什么情况下不该选子资源完整性？
三种情况另选他栈：① 团队对该栈核心框架零经验且工期紧张（学习曲线风险）；② 项目是纯内容/营销站（选 Astro 更轻）；③ 需要极高吞吐（>1 万 RPS）或强一致微服务（选 Go/Rust）。子资源完整性 的强项是中高复杂度全栈与 API，别在简单静态页上过度工程。