SRI Hešu Ģenerators

Subresource Integrity (SRI) ļauj pārlūkprogrammai pārbaudīt, vai skripts vai stilu lapa, kas ielādēta no CDN vai trešās puses resursdatora, nav mainīta pirms tās izpildes — pārlūkprogramma hešē lejupielādētos baitus un atsakās izpildīt failu, ja heša vērtība neatbilst jūsu publicētajam integritātes atribūtam. Šis rīks aprēķina šo hešu jebkuram ievilktam JS vai CSS failam, pilnībā jūsu pārlūka cilnē, tāpēc failam nekad nav jāpamet jūsu dators, lai to hešētu.

Universāls hešēšanas rīks neģenerēs izmantojamu SRI vērtību: specifikācija prasa base64 kodētu hešu, nevis heksadecimālo virkni, ko izvada vairums kontrolsummu rīku, un tā atpazīst tikai trīs algoritmus — sha256, sha384 un sha512. Šis ģenerators ierobežo algoritma izvēli tieši ar šiem trim un kodē rezultātu pareizajā veidā, tad sper vēl vienu soli, izveidojot pilnu HTML tagu ap to ar viettura src vai href lauku, ko varat rediģēt pirms kopēšanas.

Zem pārsega fails tiek nolasīts ar File API, hešēts ar iebūvēto crypto.subtle.digest() implementāciju, un iegūtie baiti tiek pārveidoti par base64 mazos blokos, nevis ar vienu lielu izkliedes operāciju — detaļa, kas ir svarīga, kad sasaistīts JS fails kļūst lielāks par aptuveni simts tūkstošiem baitu, jo tad naivas pārveidošanas pieejas var sasniegt pārlūkprogrammas izsaukumu steka ierobežojumu.

sha384 ir atlasīts pēc noklusējuma, jo tas ir SRI piemēros un dokumentācijā visbiežāk ieteiktais algoritms, līdzsvarojot heša garumu pret sadursmju noturību, taču sha256 un sha512 ir pieejami ar vienu klikšķi, ja būvēšanas cauruļvads vai CDN pakalpojumu sniedzējs nosaka citādu prasību.