Subresource Integrity對於嵌入式JavaScript有用嗎？

Question

我在閱讀有關子資源完整性的信息，並瞭解它是用於驗證外部文件的。我想這並不奇怪，我無法從MDN或W3C找到任何對內聯JavaScript的引用。

那麼，說出SRI相關的屬性integrity和crossorigin對於內聯JavaScript完全無用嗎？

Answer 1

那麼，可以肯定的說SRI相關的屬性integrity和crossorigin對於嵌入式JavaScript是完全無用的嗎？

是的，因爲那些屬性僅對於具有src屬性的script元件有用：

https://html.spec.whatwg.org/multipage/scripting.html#attr-script-integrity

的integrity屬性表示請求的完整性元數據該元素是負責。值是文本。在嵌入模塊腳本或未指定src屬性時，不得指定integrity屬性。 [SRI]

同樣如在問題中所指出的，這也是由通過說明書清楚在MDN：

https://developer.mozilla.org/en-US/docs/Web/Security/Subresource_Integrity

子資源完整性（SRI）是一種安全功能，使瀏覽器能夠驗證他們獲取（例如，從CDN）文件交付沒有意外的操作。它的工作原理是允許您提供加密散列，獲取文件必須匹配。

Answer 2

是的，可以肯定地說，因爲<script>標記的integrity屬性在<script>沒有「src」屬性時被忽略。當通過單獨的HTTP請求獲取資源時，SRI僅出現在圖片中。