مولد تجزئة SRI

كيف تنشئ تجزئة SRI؟

1. تحت حساب التجزئة لـ اختر شيفرة ملصوقة أو ملفات.
2. الصق المحتوى الدقيق للسكربت أو ورقة الأنماط في حقل محتوى السكربت أو ورقة الأنماط ثم اضغط إنشاء تجزئة SRI، أو أفلت ملفًا أو أكثر بامتداد .js و.css في منطقة الإفلات. تتحدّث التجزئات أثناء الكتابة.
3. أبقِ SHA-384 (موصى به) مفعّلًا، أو أضف SHA-256 وSHA-512. كل خوارزمية مفعّلة تضيف رمزًا واحدًا إلى القيمة.
4. اختر الوسم (تلقائي حسب اسم الملف، أو <script>، أو <script type="module">، أو <link rel="stylesheet">)، واكتب رابط المورد للمقتطف (اختياري)، واختر وضع crossorigin.
5. انسخ قيمة integrity أو الوسم كاملًا.
6. للتحقق من وسم تستخدمه فعلًا، الصق قيمته أو الوسم كله في حقل التحقق من قيمة integrity موجودة (اختياري).

ما الذي تفعله سلامة الموارد الفرعية؟

عندما تحمّل صفحةٌ سكربتًا من شبكة توصيل المحتوى (CDN)، يثق المتصفح بكل ما يعيده ذلك الخادم. فإذا اختُرقت الشبكة أو عُدّل الملف، تعمل الشيفرة المعدّلة بصلاحيات كاملة داخل صفحتك. تسدّ سلامة الموارد الفرعية (W3C SRI) هذه الثغرة: تنشر التجزئة المتوقعة للملف في الخاصية integrity، فيحسب المتصفح تجزئة ما ينزّله، ويرفض تشغيل السكربت أو تطبيق ورقة الأنماط إذا اختلفت القيمتان.

<script src="https://cdn.example.com/lib.min.js"
        integrity="sha384-H8BRh8j48O9oYatfu5AZzq6A9RINhZO5H16dQZngK7T62em8MUt1FLm52t+eX6xO"
        crossorigin="anonymous"></script>

تتكوّن القيمة من اسم الخوارزمية ثم شرطة ثم الملخص المرمَّز بـ Base64 لبايتات الملف. المثال أعلاه هو تجزئة alert('Hello, world.'); المأخوذة من مواصفة SRI. وعند إدراج عدة تجزئات، لا ينظر المتصفح إلا إلى أقوى خوارزمية موجودة، ويقبل الملف إذا طابقته أي تجزئة من تلك الخوارزمية. وبهذه الطريقة يمكن لموقع أن يدرج نسختين من ملف أثناء الانتقال بينهما.

لماذا تلزم الخاصية crossorigin؟

لا يستطيع المتصفح التحقق من سلامة ملف على أصل آخر إلا إذا جُلبت الاستجابة بوضع CORS، لذا يحتاج الوسم إلى الخاصية crossorigin، ويجب أن يجيب الخادم بالترويسة Access-Control-Allow-Origin. استخدم anonymous (دون ملفات تعريف الارتباط) لشبكات CDN العامة، أما use-credentials فللموارد الخاصة النادرة. ومن دون CORS يحظر المتصفح الملف بدلًا من تحميله دون تحقق.

لماذا لا تجلب هذه الأداة الروابط؟

تحسب هذه الأداة تجزئة الشيفرة التي تلصقها أو الملفات التي تفتحها فقط. فتنزيل سكربت من رابطه داخل الصفحة لا ينجح إلا إذا سمح ذلك الخادم بالقراءة عبر الأصول، والالتفاف على ذلك يتطلب خادمًا يجلب الملف نيابةً عنك، وهو ما يعني أنه سيرى ما تحسب تجزئته. كل شيء هنا يعمل في متصفحك. أبسط طريقة هي أن تنزّل الملف نفسه الذي ستشير إليه (الإصدار نفسه والنسخة المصغّرة نفسها) ثم تفتحه هنا.