SRI

安全管理第三方脚本：清点、SRI、CSP 与表单提交目标的检查

第三方脚本可以读取它所在页面的内容和用户输入。提供方被入侵或文件被替换时，即使自己的服务器没有问题，用户也会受到影响。防御顺序是：列出所有正在运行的脚本，删除不需要的，为内容固定的文件加 SRI 或从自己的网站提供审核过的版本，用 CSP 限制加载来源和发送目标，定期检查变化。CSP 的 form-action 不会回退到 default-src，需要单独设置。