网站签收后，获允许的CDN仍可能换了脚本。供应商若建议固定完整性值，应约定谁批准更新、加载失败如何处理。信任来源和批准具体字节是两种采购决定。
官方依据与范围
子资源完整性按给定哈希核对资源，跨域使用还要求CORS支持。 官方参考 · 2026年10月17日核对.
已填写的合成验收例子
合成教学例子，不是真实客户案例或真实平台测评。窄屏可横向滚动查看完整表格。
| 输入 | 核对口径 | 预期 |
|---|---|---|
| 批准的合成widgetv1；哈希匹配 | 精确字节比较 | 完整性候选 |
| 只改一个字节，仍用旧哈希 | 哈希不符 | 应阻止候选，调查更新 |
| 跨域资源不支持CORS | 哈希匹配还不够 | 需供应商兼容核验 |
可执行的交付检查
- 记录不可变资源版本、审核字节及批准负责人。
- 在隔离环境故意制造不匹配，确认界面有如实的备用状态。
- 核对跨域响应头和更新流程，不能为接受未知代码自动重算哈希。
怎样解释输出
工具对合成文本实际计算SHA-256，只证明摘要计算，不证明组件安全或浏览器执行了SRI。浏览器加载或错误证据、更新批准记录需分别留存。
明确的适用边界
不抓取或执行真实第三方代码，不改安全头、冻结资源或完整性设置；动态个性化脚本可能需要其他方案。
复核有限教学模型
保存两份文件到同一目录，用Node22或更新版本运行下面命令。JSON包含输入与预期；脚本仅处理合成数据，无网络、密钥、付款或付费API调用。通过不等于真实系统已经通过验收。
node check.mjs third-party-script-integrity-handover.json