如何对第三方JavaScript文件进行数字签名或完整性校验？

行业主流成熟实践 #

1. 代理中转自托管（落地成本最低，兼容性最好） #

这是目前绝大多数中大型企业的首选方案，完全不需要第三方厂商配合：

• 搭建私有代理服务，按固定周期拉取第三方最新脚本
• 拉取后自动过静态安全扫描、恶意代码检测，确认无风险后推到自有的可信CDN上
• 站点直接引用自有CDN的脚本，同步更新SRI哈希值即可
  如果第三方脚本被入侵篡改，会直接被代理层的扫描规则拦截，不会流入业务站点，同时也能解决第三方服务可用性波动的问题。

2. 双方协同的签名校验方案（需要第三方配合，适合长期合作的SaaS服务商） #

就是你提到的「第三方发布签名哈希、引入方校验」模式，目前已经在部分头部SaaS厂商的企业级客户中落地，流程如下：

• 提前和第三方约定好签名公钥，第三方将公钥指纹绑定在自身域名的DNS TXT记录或者/.well-known的固定可信路径下，避免公钥被篡改
• 第三方每次更新脚本时，用私钥对最新脚本的SHA-256哈希做签名，将「哈希值、签名、版本号」同步发布在自身可信域名的固定接口中
• 引入方在加载脚本前，先拉取第三方发布的签名数据，用提前约定的公钥验证签名有效性，确认哈希为官方发布后，再拉取脚本计算本地哈希做比对，一致再执行
  校验逻辑可以放在服务端渲染的脚本注入环节，也可以用Service Worker在前端实现，对业务侵入性极低。

JWT/PGP方案可行性说明 #

两种技术都可以实现该需求，只是落地有不同的适配成本：

• JWT 是非常合适的实现载体：可以把脚本哈希、有效期、版本号放到JWT的payload里，第三方用非对称加密算法签名，引入方只需要存公钥就能完成验签，逻辑非常轻量，前端也能快速实现。目前没有大规模普及的核心原因是缺乏行业统一标准，大部分SaaS厂商没有动力做额外适配。
• PGP/GPG 技术上也能实现，但PGP的验签逻辑在前端实现的包体积过大，验签耗时也较高，对页面性能影响明显，一般只会在服务端校验环节使用，不会直接放到前端执行。

行业标准化进展 #

目前W3C已经在推进原生浏览器级别的签名脚本规范，目标是未来可以直接在<script>标签上增加签名属性，浏览器自动完成公钥校验、哈希比对的逻辑，不需要额外写业务代码，但该规范目前还处于草案阶段，暂未进入主流浏览器的实现 roadmap。

内容的提问来源于stack exchange，提问作者Peter P.