各位观众老爷们，早上好/下午好/晚上好！ 咱们今天啊，聊点刺激的，讲讲“城门失火，殃及池鱼”的JS安全问题，以及如何用Subresource Integrity (SRI) 这把“安全锁”来保护咱们的网站。 Part 1: JS，你的甜蜜负担？ 想象一下，你开了一家豪华餐厅（你的网站），为了让客人（用户）体验更好，你从最好的供应商（CDN）那里订购了精美的餐具（JS库，比如jQuery、Bootstrap）。 这些餐具确实让你的餐厅蓬荜生辉，但问题来了：如果供应商的仓库（CDN服务器）被黑了，或者内部员工做了手脚，餐具上被人下了毒（恶意代码），那你的客人岂不是要遭殃？ 这就是JS的甜蜜负担。 我们为了快速开发和提升用户体验，大量使用第三方CDN提供的JS库。 但这些库一旦被篡改，轻则影响网站功能，重则窃取用户数据，甚至直接植入恶意代码，让用户变成肉鸡。 <!– 假设你天真地使用了CDN上的jQuery –> <script src=”https://cdn.example.com/jquery.min.js”></script> 这段代码看起来很 …
继续阅读“JavaScript内核与高级编程之：`JavaScript`的`Subresource Integrity`：其在 `CDN` 安全中的应用。”