CSP: require-sri-for

La directive HTTP Content-Security-Policy require-sri-for informe l'agent utilisateur de requérir la vérification d'intégrité des sous-ressources pour les scripts et styles de la page.

Content-Security-Policy: require-sri-for script;
Content-Security-Policy: require-sri-for style;
Content-Security-Policy: require-sri-for script style;

script

Requiert SRI pour les scripts.

style

Requiert SRI pour les feuilles de styles.

script style

Requiert SRI pour les deux, scripts et feuilles de styles.

Soit cet en-tête CSP :

Content-Security-Policy: require-sri-for script style

Cet élément <script> sera chargé et exécuté puisqu'il utilise un attribut integrity valide.

<script src="https://code.jquery.com/jquery-3.1.1.slim.js"
        integrity="sha256-5i/mQ300M779N2OVDrl16lbohwXNUdzL/R2aVUXyXWA="
        crossorigin="anonymous"></script>

Toutefois, ce script sera bloqué car il n'utilise pas cet attribut :

<script src="https://code.jquery.com/jquery-3.1.1.slim.js"></script>

• Content-Security-Policy
• Subresource Integrity