首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往
您找到你想要的搜索结果了吗?
是的
没有找到

script新属性integrity与web安全,再谈xss

=0)但现在,CDN均以表示以支持SRI为荣,不支持SRI功能为耻SRI 全称是 Subresource Integrity,是用来解决由于 CDN 资源被污染而导致的 XSS 漏洞的方案。...这就是守门神:integrity=文件指纹密码散列可以唯一标识一个数据块,任何两个文件的密码散列均不相同。属性integrity提供了网站希望运行的脚本文件的密码散列。...浏览器在下载脚本后会计算它的散列,然后将得出的值与integrity提供的值进行比较。如果不匹配,则说明目标脚本被篡改,浏览器将不使用它。..."     src="http://lib.baomitu.com/jquery/3.2.1/jquery.min.js">integrity牵扯出这么多,不由感慨,web安全,非一朝一夕之功啊...——integrity刚刚出来的时候,各大厂浏览器对此并无太大反应,就自认为这个就是块鸡肋在平常项目中,webpack打包的话,推荐这个包webpack-subresource-integritygulp

72510

使用 Play Integrity API 来保护您的应用和游戏

△ Play Integrity API 的优势 Play Integrity API 具有如下关键优势: 它由 Google Play 提供支持,并提供了最新的文档、代码示例和最佳实践,开发者可从 Play...授信流程 Play Integrity API 通过某种难以被侵入的方式让您的应用服务器同 Play 服务器进行通信,并进一步处理授信。...; 应用调用 Play Integrity API; Play 服务器会开始根据多项信号进行评估,包括设备是否已经受到侵入,是否通过证书认证测试,并对应用的授权许可进行验证,随后 Play Integrity...注意事项 在使用 Play Integrity API 时,需要注意以下几点: 确认遇到的主要问题,是盗版问题,比如流量欺诈、作弊,还是其他问题。...如需了解 Play Integrity API 详情,请前往 Play Integrity API 页面。

1.2K10

使用 SRI 解决 CDN 劫持

SRI 简介 SRI 全称 Subresource Integrity - 子资源完整性,是指浏览器通过验证资源的完整性(通常从 CDN 获取)来判断其是否被篡改的安全特性。...通过给 link 标签或者 script 标签增加 integrity 属性即可开启 SRI 功能,比如: <script type="text/javascript" src="//s.url.cn/...<em>integrity</em> 值可以包含多个由空格分隔的哈希值,只要文件匹配其中任意一个哈希值,就可以通过校验并加载该资源。上述例子中我使用了 sha256 和 sha384 两张 hash 方案。...浏览器如何处理 SRI 当浏览器在 script 或者 link 标签中遇到 <em>integrity</em> 属性之后,会在执行脚本或者应用样式表之前对比所加载文件的哈希值和期望的哈希值。...使用 SRI 通过使用 webpack 的 html-webpack-plugin 和 webpack-subresource-<em>integrity</em> 可以生成包含 <em>integrity</em> 属性 script

97630
领券