javascript - PCI 无法对 google js 进行脚本源完整性检查

Question

我在我的代码中使用了这个:

<script type="text/javascript" src='https://www.googleadservices.com/pagead/conversion.js'></script> 

在 PCI 扫描中，我收到关于“脚本源完整性检查”的错误

他们推荐使用 SRI(子资源完整性检查)。这是通过在作为散列键的标签中添加完整性属性来完成的。

我试图在 https://www.srihash.org/ 上为这个 js 文件创建一个哈希键

但是它给出了一个错误说:

Error: this resource is not eligible for integrity checks. See https://enable-cors.org/server.html

你能帮帮我吗？

1. 如何为这个 js 生成哈希键？

2. 有没有其他方法可以消除 PCI 扫描错误？

Answer 1

我在使用 Google 托管的 JS 时遇到了同样的问题。 Google 不提供 SRI。他们会不时修改脚本，因此他们需要对脚本进行版本控制并保持静态，否则 SRI 将失败。

同时，向您的 PCI 检查服务提交误报。他们需要更新此检查以跳过谷歌托管的脚本，就好像谷歌被黑了一样，好吧，那将是世界末日。