React在unpkg CDN的更新频率及integrity属性使用合理性问询

一、使用integrity属性校验哈希是否可行？ #

完全可行，这是**Subresource Integrity（SRI，子资源完整性）**标准的核心用法，专门用来防范CDN资源被篡改的安全风险，你的代码写法是符合规范的：

<script src="https://unpkg.com/react@18/umd/react.development.js" integrity="sha256-hXNk4rmCMYQXAl+5tLg1XAn3X6RroL6T9SD3afZ1eng=" crossorigin="anonymous"></script>
<script src="https://unpkg.com/react-dom@18/umd/react-dom.development.js" integrity="sha256-bRHakm3eFVwNh3OuDgW7ZGg/H0DU4etihxfdhJkXIoI=" crossorigin="anonymous"></script>

你担心的「原文件变更导致哈希失效、资源无法加载」是SRI的预期保护行为：

• 若资源被恶意篡改，哈希校验失败，浏览器会拒绝加载，避免执行恶意代码；
• 若官方发布了新版本资源，哈希变更后加载失败，其实是在帮你规避「意外加载未测试过的新版本」带来的兼容性风险。

这里要注意：你当前使用的是@18这种大版本标签，unpkg会自动指向该大版本下的最新小版本（比如18.2.0），如果React发布新的小版本（比如18.3.0），unpkg的@18路径对应的文件会更新，此时你之前的integrity哈希就会失效。建议锁定具体的小版本号（比如@18.2.0），这样unpkg上的对应文件是固定不变的，哈希也不会失效，同时能保证你始终加载经过测试的特定版本。

二、React在unpkg.com上的更新频率？ #

unpkg是实时同步npm仓库的，所以React在unpkg上的更新频率和官方在npm上的发布频率完全一致：

• 大版本（如17→18）：更新极慢，通常间隔2-3年，属于重大版本迭代；
• 小版本（如18.1.0→18.2.0）：包含新特性、功能优化，大概每3-6个月发布一次；
• 补丁版本（如18.2.0→18.2.1）：针对严重bug或安全漏洞的修复，发布时间不固定，发现问题后可能几周内就会推送。

同样，如果你使用@18这类未锁定小版本的路径，unpkg会自动切换到该大版本的最新版本，导致资源文件变更；锁定具体版本号则能避免这种情况。

内容的提问来源于stack exchange，提问作者Yeskendir