javascript - 验证 Javascript 文件上的签名

Question

关闭。此题需要 details or clarity 。目前不接受答案。

---

想要改进这个问题吗？通过 editing this post 添加详细信息并澄清问题.

已关闭 8 年前。

Improve this question

当然我不是第一个想到这个问题的人。然而，事实上我找不到任何关于这个问题的文章(更不用说任何解决方案)，这让我怀疑这个问题没有规范的解决方案:

假设我有一个受信任的 Web 服务器，它使用 HTTPS 提供网页服务，并且该网页从第三方 Web 服务器(例如 CDN 或类似服务器)加载一些第三方库。现在，原则上，没有什么可以阻止 CDN 提供某些恶意 JavaScript。这是一个问题，当然，除非我可以使用加密签名验证第三方服务器提供的 JavaScript 文件的真实性。

鉴于我可以动态加载 js 文件并且现在存在加密库，这应该是可能的。或者我在监督什么？是否有现有的 javascript 库可以解决这个问题？

Answer 1

有可能，你可以在某个时间点自己创建签名，将它们存储在你的服务器上，当你的网页加载时，你可以流式传输 JS 文件，计算它们的签名，验证它们，然后询问浏览器使用 JS 文件(如果它们有效)。

问题是，如果第三方作者更新了库，那么您的方案将停止工作，直到您验证新代码并更新服务器上的签名。

此外，从站点加载加密库的必要性通常会抵消对其他脚本使用 CDN 的好处。