未能在已部署的 emberjs 应用程序上的资源的“完整性”属性中找到有效的摘要

Question

我有一个已部署的 emberjs 应用程序，并且在 google chrome 浏览器中我收到以下 2 个 .js 文件的错误。

未能在“完整性”属性中找到有效的摘要 资源 'http://staging.org.com/assets/vendor-0ada2c9fb4d3e07ad2f0c6a990945270.js' 具有计算的 SHA-256 完整性 'Sb4Xc/Oub27QW0MKlqK0sbq0Mm476jU7MgJaCzd/gKk='。该资源已 被屏蔽了

当我检查文件时，我可以看到两个有问题的 .js 文件的脚本标签。我不是 100% 确定这种完整性检查是如何工作的。您可以在下面看到带有 sha 的完整性属性。

<script src="/assets/vendor-0ada2c9fb4d3e07ad2f0c6a990945270.js" integrity="sha256-s3XY9h9v9IThygF6UkWRvWZsf7zeTqYJ1rLfDgg1bS0= sha512-k3lfqdeZw3OcsECfD3t99Hidh6IoRlFSoIu5nJk0FkLYHwx0q/rddirj4jh4J73dmLwKfG9mx0U5Zf6ZzRBsvA==" ></script>
<script src="/assets/g-web-56670cf0485cf52f54589091e2a25cc8.js" integrity="sha256-jNmWqO61OPijscQ5cHVSbB1Ms5wKX78ZACYdhrUo3X4= sha512-oiksgRFsqgHaCvXPvd3SAsUuX4zPeVClQBIgrOgIKNBMa3hPqCHknoFqDGRtSyfN4EdIkfk/x1zSqBqRvONAGQ==" ></script>

emberjs 应用程序是使用 docker 映像构建的，部署到 kubernetes，运行 haproxy 的 aws elb 正在处理此应用程序的路由，因此当我导航到 staging.x.com 时，它会路由到此服务的 kubernetes 中的内部 dns（ emberjs 网络应用程序）。

有什么有趣的注意事项；

1. 在本地运行 ember serve 可以正常工作，并且应用程序加载正常。
2. 在本地构建和运行 docker 映像可以正常工作，并且应用程序加载正常。

该问题仅发生在我部署的暂存环境中。

Answer 1

正如 Jelhan 在上面所说的“SRI”策略，要解决此问题，您只需删除 integrity 属性。然后浏览器不会检查你从 CDN 获取的资源

Answer 2

Ember 默认使用Subresource Integrity (SRI) 来提高使用该框架构建的应用程序的安全性。

Mozilla 开发网络对 SRI 有很好的解释：

子资源完整性 (SRI) 是一种安全功能，可启用 浏览器验证它们获取的资源（例如，从 CDN） 交付时没有意外操作。它的工作原理是允许 您提供获取的资源必须的加密哈希 匹配。

此处描述的哈希值在 Ember 应用程序构建时生成并注入到 index.html 中。如果堆栈的任何部分（部署、Web 服务器、代理等）修改了文件，index.html 中的哈希将不再匹配所服务文件的哈希。因此，浏览器将阻止该资产的执行并抛出您在问题中提到的错误。

在 Ember 构建管道中提供集成的 documentation of ember-cli-sri 会发出警告：

在使用 SRI 的代码中，您不得篡改生成的输出 JavaScript 文件，因为代码不会加载。