ASP.NET Core Script Tag Helper回退资源完整性校验失败求助

我刚好碰到过类似的问题，核心原因就是ASP.NET Core的Script Tag Helper会让回退资源复用主CDN资源的integrity属性，但本地包（不管是NuGet还是npm拉的）和CDN文件经常因为压缩细节、换行符这类微小差异导致哈希不一致，进而被浏览器拦截。

咱们逐个说你提到的两个方案：

方案1：本地回退资源跳过完整性校验 #

不可行。目前官方的Script Tag Helper没有提供单独禁用回退资源完整性校验的选项——只要你给主资源设置了integrity，回退资源会自动继承这个属性，没办法在Tag Helper层面移除它。

方案2：为回退资源单独设置哈希 #

原生不支持。官方的Tag Helper没有asp-fallback-integrity这类属性来指定回退资源的专属哈希值，所以这个思路暂时走不通，除非你自己扩展Tag Helper。

接下来是几个不用手动同步CDN文件的workaround，都是基于包管理器的，不用你手动去下载CDN文件替换本地资源：

推荐的Workaround #

1. 手动编写回退逻辑，分别指定哈希 #

放弃用asp-fallback-src，转而自己写CDN加载失败的回退脚本，同时为CDN和本地资源分别设置正确的integrity：

<!-- CDN资源用官方提供的integrity -->
<script src="https://cdn.jsdelivr.net/npm/jquery@3.6.4/dist/jquery.min.js"
        integrity="sha256-oP6HI9z1XaZNBrJURtCoUT5SUnxFr8s3BzRl+cbzUq8="
        crossorigin="anonymous"
        onload="window.jQuery || loadLocalJQuery()"></script>

<script>
function loadLocalJQuery() {
  const script = document.createElement('script');
  script.src = '@Url.Content("~/lib/jquery/dist/jquery.min.js")';
  // 本地文件的哈希可以在构建时自动生成，比如用npm的subresource-integrity包计算后存入配置
  script.integrity = '@Configuration["JQuery:LocalIntegrity"]';
  script.crossorigin = 'anonymous';
  document.body.appendChild(script);
}
</script>

这里的本地哈希可以通过构建脚本自动生成：比如用npm的subresource-integrity工具，在项目构建时计算本地jQuery文件的哈希，然后写入appsettings.json，视图直接读取配置即可，完全不用手动维护哈希值。

2. 自定义Tag Helper支持回退哈希 #

如果你习惯用Tag Helper的写法，可以自己扩展一个支持asp-fallback-integrity属性的自定义Script Helper。大致思路是继承官方的ScriptTagHelper，添加一个新的属性用于存储回退资源的哈希，然后在生成回退脚本的时候，使用这个专属哈希而不是复用主资源的。

3. 跳过本地回退资源的校验（适合信任本地资源的场景） #

如果你的本地资源都是通过包管理器拉取的，完全信任其安全性，可以直接在回退逻辑中不设置integrity属性：

<script src="https://cdn.jsdelivr.net/npm/jquery@3.9.9/dist/jquery.min.js"
        integrity="sha256-oP6HI9z1XaZNBrJURtCoUT5SUnxFr8s3BzRl+cbzUq8="
        crossorigin="anonymous"></script>
<script>window.jQuery || document.write('<script src="@Url.Content("~/lib/jquery/dist/jquery.min.js")"><\/script>')</script>

这个方案最快捷，不用管哈希同步的问题，唯一的缺点是本地资源没有完整性校验，但因为是你自己控制的依赖，风险很低。

总结下来，如果你追求规范安全，选第一种方案；如果想快速解决问题，第三种方案最省心。

内容的提问来源于stack exchange，提问作者Josh