Атрибут integrity простым языком?

Question

[Михаил Р.]

Приветствую!

После сборки проекта в webpack получил ссылки на скрипты следующего вида:

<script src="scripts/main.js" integrity="sha384-FodIiaRlWbwU2IwBPjkmfaWKn51UJmxr5KeQb7KwK/lYvFcRxKXaoKCEk1ECH9qZ" crossorigin="anonymous"></script>

Почитал про атрибут integrity , пишут про целостность файлов итп, а можно более простым языком объяснить для чего этот атрибут нужен?

Спасибо!

Answer 1

[Stalker_RED]

Если указана контрольная сумма браузер должен проверить ее. Таким образом страхуемся от случайного или умышленного повреждения или от подмены подключаемых файлов.
https://developer.mozilla.org/en-US/docs/Web/Secur...

Comments

[Михаил Р.]

Это аналог

<script src="scripts/main.js?FodIiaRlWbw"></script>

?

[sim3x]

Mike Ro, нет
В данном случае хеш указывает браузеру, что файл сменился
Браузер не будет считать хеш и не отклонит файл если хеши не совпадут

[Михаил Р.]

sim3x, все равно не понял, для чего нужен integrity ... С хешем понятно, если хеш другой, значит нужно обновить файл в кеше.

[sim3x]

Mike Ro,

браузер сравнивает хеш файла, который скачал и тот хеш, что указан в хтмл
Если хеши не совпадают файл не будет запущен

[Михаил Р.]

sim3x, дошло, спасибо! Если браузер при повторном заходе на сайт увидит аналогичный файл, но с другим integrity, он будет обновлять кеш с этим файлом?

[Stalker_RED]

Mike Ro, не нашел этого в спецификации. Можно проверить экспериментально, но полагаться на постоянство такого поведения я бы не стал.

[Max Logic]

Михаил Р.,
1. Пользователь открывает сайт.
2. Интерпретатор видит подключаемый файл с атрибутом integrity.
3. Запрашивает файл по указанной ссылке в src или href
4. Удаленный сервер отвечает, что файл этот есть и отдает его сайту (пользователю/клиенту)
5. Браузер смотрит контрольную сумму принимаемого (открываемого) файла, и сравнивает ее с со значением в атрибуте integrity.
6. Если они отличаются, то браузер отказывается принять (загрузить) такой файл для клиента.
Вроде бы так..

[Михаил Р.]

Max Logic, блгодарю за ответ, хоть и через 5 лет :)