SRISubresource Integrity

SRI は、HTML の script / link タグに integrity="sha384-..." 属性を付け、外部CDNから読み込むリソースのハッシュ値をブラウザが検証する仕組みです。CDN が侵害されてJSライブラリが改ざんされても、ハッシュ不一致でブラウザが実行を拒否します。書式は「integrity="sha384-Base64ハッシュ" crossorigin="anonymous"」で、SHA-256/384/512 をサポートします。crossorigin 属性は CORS と組み合わせて検証を有効化するために必要です。CSP の require-sri-for ディレクティブでサイト全体で SRI を強制することも可能です (廃止予定との議論あり)。MagecartのようなサプライチェーンSkimming攻撃の対策として効果的で、PCI DSS 4.0 でも要件 6.4.3 / 11.6.1 で言及されています。