Gineadóir Haise SRI

Conas hais SRI a ghiniúint

1. Faoi Hais, roghnaigh Cód greamaithe nó Comhaid.
2. Greamaigh ábhar cruinn an scripte nó na bileoige stíle isteach in Ábhar scripte nó bileog stíle agus brúigh Gin hais SRI, nó scaoil comhad .js agus .css amháin nó níos mó ar an limistéar scaoilte. Nuashonraítear na hashanna agus tú ag clóscríobh.
3. Fág SHA-384 (molta) ticeáilte, nó cuir SHA-256 agus SHA-512 leis. Cuireann gach algartam ticeáilte comhartha amháin leis an luach.
4. Roghnaigh an Clib (uathoibríoch ó ainm an chomhaid, <script>, <script type="module"> nó <link rel="stylesheet">), clóscríobh URL an acmhainne don bhlúirín (roghnach) agus roghnaigh an mód crossorigin.
5. Cóipeáil an luach integrity nó an chlib iomlán.
6. Chun clib a úsáideann tú cheana a sheiceáil, greamaigh a luach nó an chlib iomlán in Seiceáil luach integrity atá ann cheana (roghnach).

Cad a dhéanann Subresource Integrity

Nuair a luchtaíonn leathanach script ó CDN, tá muinín ag an mbrabhsálaí as pé rud a sheoltar ar ais ón bhfreastalaí sin. Má tá an CDN i mbaol nó má athraítear an comhad, ritheann an cód athraithe le rochtain iomlán ar do leathanach. Dúnann Subresource Integrity (W3C SRI) an bhearna sin: foilsíonn tú hais ionchasach an chomhaid sa tréith integrity, déanann an brabhsálaí hasháil ar an méid a íoslódálann sé, agus diúltaíonn sé an script a rith nó an bhileog stíle a chur i bhfeidhm má tá difríocht eatarthu.

<script src="https://cdn.example.com/lib.min.js"
        integrity="sha384-H8BRh8j48O9oYatfu5AZzq6A9RINhZO5H16dQZngK7T62em8MUt1FLm52t+eX6xO"
        crossorigin="anonymous"></script>

Is é an luach ainm an algartaim, fleiscín agus díolaim Base64 de bheartanna an chomhaid. Is é an sampla sin hais alert('Hello, world.'); ó shonraíocht SRI. Nuair a liostaítear roinnt hashanna, ní fhéachann brabhsálaithe ach ar an algartam is láidre atá ann agus glacann siad leis an gcomhad má mheaitseálann aon hais den algartam sin. Sin an chaoi ar féidir le suíomh dhá leagan comhaid a liostú le linn scaoileadh.

Cén fáth a bhfuil crossorigin riachtanach

I gcás comhaid ar bhunús eile, ní féidir leis an mbrabhsálaí a sláine a sheiceáil ach má fhaightear an freagra i mód CORS, mar sin teastaíonn tréith crossorigin ón gclib agus ní mór don fhreastalaí freagra a thabhairt le ceanntásc Access-Control-Allow-Origin. Úsáid anonymous (gan fianáin) le haghaidh CDNanna poiblí; is le haghaidh acmhainní príobháideacha annamha atá use-credentials. Gan CORS, blocálann an brabhsálaí an comhad in ionad é a luchtú gan seiceáil.

Cén fáth nach bhfaigheann an uirlis seo URLanna

Ní dhéanann an uirlis seo hasháil ach ar chód a ghreamaíonn tú nó ar chomhaid a osclaíonn tú. Ní oibreodh script a íoslódáil óna URL laistigh den leathanach ach amháin má cheadaíonn an freastalaí sin léamh trasbhunaithe, agus b’éigean freastalaí a úsáid chun an comhad a fháil duit chun é sin a sheachaint, rud a d’fheicfeadh an méid a dhéanann tú hashú air. Ritheann gach rud anseo i do bhrabhsálaí. Is é an modh is simplí ná an comhad cruinn a thabharfaidh tú le tagairt dó a íoslódáil (an leagan céanna agus an tógáil mhionaithe chéanna) agus é a oscailt anseo.