问CSP要求什么--sri--用于指令保护？

EN

require-sri-for的目的仅仅是防止开发人员忘记添加integrity标记。

弗雷德里克·布劳恩，他声称是“源子源完整性写在他的博客上”的作者：

GitHub是第一个使用子资源完整性的大型网站之一，因此可以使用防范潜在的不良内容传递网络(CDN)。SRI的棘手之处在于，如果您希望获得安全好处，则必须为指向CDN的每个HTML标记包含它。然后，当然，碰巧有人忘了加这句话，人们很难过。

它保护你不被注入你所允许的资源。如果您允许外部源的一些跟踪器或库被劫持，CSP将不会阻止它。SRI将确保如果资源发生更改，它将不会被加载。这就是为什么CSP和SRI都存在，它们所做的事情是不同的。