การใช้ Subresource Integrity (SRI)
ในบทที่แล้ว เราได้เรียนรู้เกี่ยวกับ Content Security Policy (CSP) ซึ่งเป็นเครื่องมือที่ทรงพลังในการป้องกันการโจมตี Cross-Site Scripting (XSS) ในบทนี้ เราจะมาเรียนรู้เกี่ยวกับ Subresource Integrity (SRI) ซึ่งเป็นอีกหนึ่งกลไกที่ช่วยเสริมความปลอดภัยให้กับการโหลดทรัพยากรจากภายนอก โดยเฉพาะอย่างยิ่งเมื่อเราใช้ Content Delivery Network (CDN) เพื่อให้บริการไฟล์ JavaScript หรือ CSS
SRI คืออะไร?
Subresource Integrity (SRI) คือ กลไกที่ช่วยให้เบราว์เซอร์สามารถตรวจสอบได้ว่าไฟล์ที่โหลดจากแหล่งภายนอก เช่น CDN นั้น ไม่ได้ถูกแก้ไขหรือดัดแปลงโดยผู้ไม่ประสงค์ดี หากไฟล์ถูกแก้ไข hash ที่เบราว์เซอร์คำนวณได้จะไม่ตรงกับ hash ที่ระบุไว้ใน attribute `integrity` ของ tag `