Generator zgoščene vrednosti SRI

Kako ustvariti zgoščeno vrednost SRI

1. Pod Zgoščena vrednost izberi Prilepljena koda ali Datoteke.
2. V Vsebina skripte ali slogovne datoteke prilepi natančno vsebino skripte ali slogovne datoteke in pritisni Ustvari zgoščeno vrednost SRI ali spusti eno ali več datotek .js in .css na območje za spuščanje. Zgoščene vrednosti se posodabljajo med tipkanjem.
3. Pusti obkljukan SHA-384 (priporočeno) ali dodaj SHA-256 in SHA-512. Vsak obkljukan algoritem vrednosti doda en žeton.
4. Izberi Oznako (samodejno po imenu datoteke, <script>, <script type="module"> ali <link rel="stylesheet">), vpiši URL vira za izsek kode (neobvezno) in izberi način crossorigin.
5. Kopiraj vrednost integrity ali celotno oznako.
6. Če želiš preveriti oznako, ki jo že uporabljaš, njeno vrednost ali celotno oznako prilepi v Preveri obstoječo vrednost integrity (neobvezno).

Kaj počne Subresource Integrity

Ko stran naloži skripto iz omrežja CDN, brskalnik zaupa vsemu, kar vrne tisti strežnik. Če je CDN ogrožen ali je datoteka spremenjena, se spremenjena koda izvede s polnim dostopom do tvoje strani. Subresource Integrity (W3C SRI) to vrzel zapre: pričakovano zgoščeno vrednost datoteke objaviš v atributu integrity, brskalnik zgosti, kar prenese, in skripte ne izvede ali slogovne datoteke ne uporabi, če se vrednosti razlikujeta.

<script src="https://cdn.example.com/lib.min.js"
        integrity="sha384-H8BRh8j48O9oYatfu5AZzq6A9RINhZO5H16dQZngK7T62em8MUt1FLm52t+eX6xO"
        crossorigin="anonymous"></script>

Vrednost sestavljajo ime algoritma, vezaj in povzetek bajtov datoteke, kodiran z Base64. Ta primer je zgoščena vrednost kode alert('Hello, world.'); iz specifikacije SRI. Kadar je navedenih več zgoščenih vrednosti, brskalniki upoštevajo samo najmočnejši prisotni algoritem in datoteko sprejmejo, če se ujema katera koli zgoščena vrednost tega algoritma. Tako lahko stran med uvajanjem navede dve različici datoteke.

Zakaj je crossorigin obvezen

Za datoteko z drugega izvora lahko brskalnik njeno celovitost preveri le, če je odgovor pridobljen v načinu CORS, zato oznaka potrebuje atribut crossorigin, strežnik pa mora odgovoriti z glavo Access-Control-Allow-Origin. Za javne omrežja CDN uporabi anonymous (brez piškotkov); use-credentials je za redke zasebne vire. Brez CORS brskalnik datoteko blokira, namesto da bi jo naložil nepreverjeno.

Zakaj to orodje ne prenaša naslovov URL

To orodje zgošča samo kodo, ki jo prilepiš, ali datoteke, ki jih odpreš. Prenos skripte z njenega naslova URL znotraj strani bi deloval le, če tisti strežnik dovoljuje branje z drugih izvorov, obhod tega pa bi zahteval strežnik, ki bi datoteko prenesel namesto tebe in bi tako videl tudi to, kar zgoščaš. Tu vse teče v tvojem brskalniku. Najpreprostejši način je, da prenesi natančno datoteko, na katero se boš sklicval (isto različico in isto pomanjšano izdajo), in jo odpreš tu.