如何查询cdnjs上的软件包是由哪个主体提交添加的？

包添加至cdnjs的标准流程 #

• 所有上线至cdnjs的公开包均来自官方上游源，仅支持从npm官方 registry 或开源项目官方GitHub Release 同步资产，不接受任何第三方单独提交的非官方包文件
• 包的新增请求、版本更新请求均由平台自动化爬虫批量触发，只有当包满足收录规则（达到最低下载量要求、开源协议合规、项目维护状态正常等）时，才会进入后续审核流程
• 所有同步请求必须经过平台维护者人工校验，校验项包括同步的文件哈希与上游官方发布的哈希完全匹配、不存在额外插入的恶意代码、文件结构与官方发布结构一致，校验通过后才会同步到cdnjs全球节点对外提供服务

aws-amplify 包的可靠性验证与提交信息查询方法 #

• 最直接的校验方式为SRI子资源完整性校验：你可以先生成当前引用的aws-amplify资源文件的SHA-256/384/512哈希值，与aws-amplify官方文档给出的CDN引用SRI值做比对，哈希完全一致即可证明内容未被篡改。引用时也可以直接在script标签中添加integrity属性，浏览器会自动完成校验，内容不匹配时不会加载对应脚本，示例格式为：

<script src="你的cdnjs aws-amplify资源地址" integrity="sha384-对应的哈希值" crossorigin="anonymous"></script>

• cdnjs所有包的历史更新记录都公开存档，你可以直接查询aws-amplify包对应的所有历史版本提交记录，每条记录都包含对应上游官方源的版本号、提交时间、维护者审核记录等信息
• 若需要做更严格的校验，可以将cdnjs上拉取的对应版本aws-amplify文件，与npm官方源下载的同版本包内对应文件做逐字节对比，两者内容完全一致

内容的提问来源于stack exchange，提问作者Mohit Swami