HTML/Attribute/integrity

Das integrity-Attribut stellt Integritätsmetadaten für ein Element dar.
Subresource Integrity (SRI) ist eine Sicherheitsfunktion, die es Browsern ermöglicht, zu überprüfen, ob die von ihnen abgerufenen Ressourcen (z. B. von einem CDN) ohne unerwartete Manipulation geliefert werden. Sie funktioniert, indem Sie einen kryptografischen Hash angeben können, dem eine abgerufene Ressource entsprechen muss.

Der Attributwert besteht aus dem Namen des Hash-Algorithmus, einem Bindestrich und dem Base64-kodierten (binären) Hashwert. Im Beispiel oben ist der Hash-Algorithmus SHA384. Der Hash-Wert kann ermittelt werden

• auf der Kommandozeile mit openssl dgst -$ALGO -binary "$SCRIPT" | openssl base64 -A, wobei $ALGO der Hash-Algorithmus und $SCRIPT der Name der Javascript-Datei ist
• in PHP mit dem Inhalt der Datei:

  base64_encode(hash($ALGO, $SCRIPT_CONTENT, TRUE))
  

erlaubte Werte	hash
default-Wert	- wird nicht gesetzt
erlaubt in	<link>, <script>

Beispiel

<script
  src="https://example.com/example-framework.js"
  integrity="sha384-oqVuAfXRKap7fdgcCY5uykM6+R9GqQ8K/uxy9rx7HNQlGYl1kPzQho1wx4JwY8wC"
  crossorigin="anonymous"></script>

Bevor das Skript https://example.com/example-framework.js ausgeführt wird, muss der Browser zunächst das Skript mit dem erwarteten Hash vergleichen und überprüfen, ob eine Übereinstimmung vorliegt.

Siehe auch

• JavaScript in HTML einbinden

Weblinks

• the integrity attribute (W3C)
• Subresource Integrity (developer.mozilla.org)
• HTMHell Advent Calendar 3/2022: Using SRI to protect from malicious JavaScript

Liste der HTML-Attribute

• Meta-Attribute
  • async
  • blocking
  • charset
  • content
  • crossorigin
  • defer
  • fetchpriority
  • http-equiv
  • integrity
  • media
  • open
  • rel
  • referrerPolicy
  • sizes
  • type (script)
  • type (link, style)
• Universalattribute
• Aria-Attribute
• Formular-Attribute
• Listen-Attribute
• Medien-Attribute
• Tabellen-Attribute
• Verweis-Attribute
• obsolet oder gelöscht