是否有一个标志可以禁用 Chromium 中的子资源完整性检查？

Question

我们使用puppeteer，有时还使用playwright来运行一些集成测试。我们模拟了一些目标页面的脚本依赖项，这会导致子资源完整性哈希不匹配。

无法使用计算的 SHA 在资源“http://localhost:3000/static/third-party/adobe-target/at-js/2.4.0-cname/at.js”的“integrity”属性中找到有效摘要-256 完整性'47DEQpj8HBSa+/TImW+5JCeuQeRkm5NMpJWZG3hSuFU='。资源已被封锁。”

有没有办法通过标志或配置属性禁用完整性哈希检查？

Answer 1

integrity不。我相信唯一的方法是从加载脚本的源中修复或删除该属性。

查看 chromium（或眨眼）源，除非integrity属性为空，否则FetchManager::Loader将实例化SRIVerifier，其构造函数调用其OnStateChange方法，其中对于basic, cors, default（忽略opaque响应和错误）的响应类型，SubresourceIntegrity::CheckSubresourceIntegrity将被调用。除非属性解析integrity失败，SubresourceIntegrity::CheckSubresourceIntegrityImpl否则将成功验证摘要之一，否则将失败并显示给定的错误消息。沿着此路径没有检查任何配置选项来覆盖失败的检查。