为何漏洞扫描仅针对部分脚本提示Subresource Integrity缺失？

为什么仅部分第三方脚本触发Subresource Integrity警告 #

核心原因：漏洞扫描工具的风险预设规则 #

漏洞扫描工具对第三方资源的SRI要求并非一刀切，而是基于资源的信任等级、使用场景、服务商安全能力做了区分：

• Google Analytics的analytics.js被默认豁免
  这类脚本属于全球广泛使用的官方统计工具，Google的CDN具备极强的安全防护（防篡改、HTTPS强制、内容签名机制），且Google对该脚本的更新策略是向后兼容且哈希值长期稳定。绝大多数扫描工具会把这类高信任度的公共服务资源加入SRI检查白名单，因此不会触发警告。
• Mailchimp的mc-validate.js未被豁免
  邮件营销类工具的脚本相对小众，服务商的资源更新频率、安全公示程度不如Google这类巨头。扫描工具默认认为这类资源的篡改风险更高，因此强制要求添加integrity属性来验证资源完整性，避免被注入恶意代码。

其他可能的影响因素 #

• 资源加载方式的差异
  你第二个资源用的是<link rel="preload">预加载脚本，部分扫描工具对预加载资源的SRI检查逻辑更严格——因为预加载的资源会被后续执行，风险点与直接加载的脚本一致，但工具规则可能单独强化了这类场景的检查。
• 扫描工具的自定义配置
  部分扫描工具允许用户自定义SRI检查的白名单/黑名单，可能你的扫描规则里默认包含了google-analytics.com域名，而s3.amazonaws.com不在其中。

补充：跨域资源的SRI注意点 #

跨域资源使用SRI时，必须配合crossorigin属性（比如crossorigin="anonymous"），否则浏览器会忽略integrity校验。不过这不是你当前问题的核心，扫描工具提示的是属性缺失本身。

内容的提问来源于stack exchange，提问作者SH_