验证CDN javascript的完整性

Question

CDN允许对jquery等常用javascript库进行缓存，从而加快了网站的加载速度。在为我的客户服务之前，我们如何知道他们是否修改了javascript？

例如，我比较了jquery.js的散列，并证实它与官方网站上的散列匹配。然后将链接插入到我的网页上。2周后，CDN将其替换为嵌入了密钥记录器的恶意副本。当客户访问我的网页时，恶意脚本将被下载并记录所有输入并将其发送到他们的服务器。

在执行脚本之前，我可以使用像Crypto.JS这样的库来验证脚本的md5校验和吗？这必须在javascript中完成，因为利用漏洞可以在客户端工作。

Answer 1

这就是您要寻找的-子资源完整性：

• http://w3c.github.io/webappsec/specs/subresourceintegrity/

摘要：http://qnimate.com/how-to-make-browsers-verify-fetched-resources-content/

子资源完整性仅受最新浏览器的支持。