SUBRESource Integrity (SRI) schützt die Integrit?t der externen Ressourcen durch Hash -überprüfung und verhindert Manipulationen. 1. Nutzungsszenario: Beim Einführung von Bibliotheken von Drittanbietern wie JQuery und Bootstrap verhindern Sie, dass CDN entführt wird oder an Angriffe der Mitte des Mies. 2. Implementierungsmethode: Fügen Sie das Integrit?tsattribut zum Skript- oder Link-Tag hinzu, der Wert ist der SHA-256/384/512 Hash der Ressource, und Crossorigin = "Anonymous" ist erforderlich. 3. Generierungsmethode: Verwenden Sie Befehlszeilen -Tools oder Online -Generatoren, um Hashes zu generieren. 4. Anmerkungen: Die Hashes müssen synchron aktualisiert werden, wenn der Ressourceninhalt ge?ndert wird. CDN kann aufgrund der Kompression inkonsistente Hashes verursachen. HTTPS kann SRI nicht ersetzen. SRI wird haupts?chlich für Ressourcen von Drittanbietern verwendet.

Um das integrity von HTML zu verwenden, um die Integrit?t von Subresourcen zu gew?hrleisten, um es unverblümt auszudrücken, wenn der Browser externe Ressourcen l?dt (wie JS oder CSS, die von CDN eingeführt wurden), überprüft es, ob der Dateiinhalt manipuliert wurde. Der Kern dieses Mechanismus ist die Hash -überprüfung, um sicherzustellen, dass die Ressourcen, auf die Sie verweisen, genau die gleichen sind wie die ursprünglich ver?ffentlichten Ressourcen.

Hier sind ein paar wichtige Punkte, mit denen Sie herausfinden k?nnen, wie Sie es verwenden k?nnen, warum und was Sie ben?tigen, um Aufmerksamkeit zu erhalten.

Was ist SubResource -Integrit?t (SRI)

SubResource Integrity (SRI) ist ein Browser-Sicherheitsmechanismus, mit dem beladene externe Ressourcen (wie Skripte oder Style-Bl?tter, die auf CDNs von Drittanbietern gehostet werden), b?swillig modifiziert werden. Sein Prinzip ist sehr einfach: Sie fügen dem Tag ein integrity hinzu, das den kryptografischen Hash -Wert des Ressourceninhalts setzt. Nachdem der Browser die Ressource heruntergeladen hat, berechnet sie den Hash selbst. Wenn es nicht mit dem, was Sie bereitstellen, nicht übereinstimmt, bedeutet dies, dass die Datei m?glicherweise manipuliert wurde, sodass sie sich weigert, auszuführen.

Gemeinsame Szenarien wie die Einführung ?ffentlicher Bibliotheken wie JQuery und Bootstrap, wenn Sie dem offiziellen CDN vertrauen, sich jedoch besorgt über Angriffe des Mannes in der Mitte oder der Entführung des CDN, kann das Hinzufügen einer Integrit?t eine zus?tzliche Schutzebene hinzufügen.

So generieren Sie integrity

Um SRI zu verwenden, müssen Sie zun?chst den richtigen Hash für Ihre Ressource generieren. Die am h?ufigsten verwendeten Algorithmen sind SHA-256, SHA-384 und SHA-512, und es wird empfohlen, mindestens SHA-256 zu verwenden.

Sie k?nnen es über das Befehlszeilen -Tool erzeugen:

 cat yourfile.js | OpenSSL DGST -SHA256 -BINARY | OpenSSL Base64 -a

Sie k?nnen auch direkt Online -Tools wie SRI -Hash -Generator generieren. Sie k?nnen die entsprechende Integrit?tszeichenfolge sehen, indem Sie die Datei hochladen.

Fügen Sie nach der Generation diese Eigenschaft zum <script> oder <link> -Tag: Fügen Sie hinzu:

 <script src = "https://example.com/your-script.js"
        Integrity = "SHA256 ist der Hash-Wert, den Sie generiert haben"
        crossorigin = "anonymous"> </script>

Stellen Sie sicher, dass Sie das crossorigin -Attribut hinzufügen, andernfalls führen einige Browser keine Vollst?ndigkeitsprüfungen durch.

Dinge, die in der tats?chlichen Verwendung zu beachten sind

W?hrend integrity nützlich ist, gibt es mehrere Punkte, die anf?llig für Fehler sind oder ignorieren:

• Die Ressource kann nicht ge?ndert werden : Selbst wenn Sie einen Charakter lokal ?ndern, stimmt der Hash nicht überein. Sobald die Integrit?t hinzugefügt wurde, k?nnen Sie die Ressourcendatei nicht nach Belieben aktualisieren, ohne den Hash zu aktualisieren.
• CDN -Caching -Probleme : Einige CDNs k?nnen Ressourcen komprimieren oder umschreiben, was zu inkonsistenten Hashes führt. Es ist am besten, es vor dem Einsatz zu testen.
• HTTPS ist keine gleiche Sicherheit : Selbst wenn HTTPS verwendet wird, kann es nicht garantieren, dass das CDN nicht beeintr?chtigt wird. SRI ist eine zus?tzliche Sicherheitsebene.
• Nur für externe Ressourcen anwendbar : Wenn es sich um eine Ressource auf Ihrem eigenen Server handelt, ist es im Allgemeinen nicht erforderlich, sie hinzuzufügen, es sei denn, Sie führen auch die CDN -Verteilung durch.

Welche Ressourcen eignen sich zum Hinzufügen von integrity

Nicht alle Ressourcen eignen sich zum Hinzufügen dieses Attributs, und die folgenden Situationen sind haupts?chlich anwendbar:

• JS/CSS-Bibliotheken von Drittanbietern (wie JQuery, React, Bootstrap)
• Statische Ressourcen auf ?ffentlichen CDNs veranstaltet
• Gemeinsame Skripte, die von mehreren Websites geteilt werden

Für Skripte, die von Ihnen selbst entwickelt wurden, insbesondere solche, die sich h?ufig ?ndern, wird nicht empfohlen, sie hinzuzufügen, da sie zu problematisch sind, um sie aufrechtzuerhalten. Wenn die Ressourcen jedoch stabil gestartet wurden, k?nnen Sie sie auch hinzufügen.

Insgesamt ist integrity ein einfaches und effektives Sicherheitsinstrument, insbesondere wenn Sie sich auf externe Ressourcen verlassen, es lohnt sich, einige Minuten zu konfigurieren. Obwohl nicht allm?chtig, kann es in einigen F?llen zumindest potenzielle Risiken vermeiden.

Das obige ist der detaillierte Inhalt vonHTML `Integrity` Attribut für die Integrit?t von SubResource. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!