1

我正在使用最新的（4.9.8）WordPress，目前正在为<script>标签添加完整性属性。的版本/wp-includes/js/jquery/jquery.js是1.12.4。用于此的 SRI（哈希）是

sha256-/EjR2A7OcaeaezmHf0EE1J09psNmXPbcIDAA+330RH4=.

jquery 站点和Cloudflare CDN1.12.4上的版本具有 SRI

sha256-Qw82+bXyGq6MydymqBxNPYTaUXXq7c8v3CwiYwLLNXU=

代码看起来缩小了，但 SRI 也不匹配缩小版本。Cloudflare 和 jquery 站点上的 SRI 属性也与缩小版本相匹配。

  • 有谁知道为什么会有差异？
  • WordPress 开发人员自定义 jquery（标准）库是否常见？
4

1 回答 1

1

Wordpress 使用的https://raw.githubusercontent.com/WordPress/WordPress/master/wp-includes/js/jquery/jquery.js是https://code.jquery.com/jquery-1.12.4的副本.min.js被修改为添加jQuery.noConflict()，使其处于“无冲突”模式https://api.jquery.com/jquery.noconflict/。

我想 Wordpress 这样做是为了防止在您的 Wordpress 站点中加载其他一些$用作函数或变量名的库时发生冲突。

因此，如果您想使用/wp-includes/js/jquery/jquery.js具有子资源完整性的文件，则需要使用与上游版本不同的哈希值——因为内容不同。

更多细节

https://raw.githubusercontent.com/WordPress/WordPress/master/wp-includes/js/jquery/jquery.js 1与https://code.jquery.com/jquery-1.12.4.min.js显示不同这：

--- jquery-1.12.4.min.js    2018-10-30 08:44:12.545350081 +0900
+++ jquery.js   2018-10-30 08:38:48.978809390 +0900
@@ -3,3 +3,4 @@
 }return c}function Q(a){var b;for(b in a)if(("data"!==b||!n.isEmptyObject...
 marginLeft:0},function(){return a.getBoundingClientRect().left}):0))+"px"...
 padding:"inner"+a,content:b,"":"outer"+a},function(c,d){n.fn[d]=function...
+jQuery.noConflict();
\ No newline at end of file

1 https://raw.githubusercontent.com/WordPress/WordPress/922f83a69f47c68d9f7adac6520d1de04075d8be/wp-includes/js/jquery/jquery.js，确切地说。

因此，https://raw.githubusercontent.com/WordPress/WordPress/master/wp-includes/js/jquery/jquery.js添加jQuery.noConflict();一行并从文件末尾删除换行符。

如果您删除该jQuery.noConflict();行并在该文件的末尾添加一个换行符，那么您最终会得到与上游https://code.jquery.com/jquery-1.12.4.min.js相同的内容。如果你为修改后的文件生成一个哈希，你会得到：

$ shasum -b -a 256 jquery-wordpress-modified.js \
    | awk '{ print $1 }' | xxd -r -p | base64

ZosEbRLbNQzLpnKIkEdrPv7lOy9C27hHQ+Xp8a4MxAQ=

……或者……</p> 

$ cat jquery-wordpress-modified.js \
    | openssl dgst -sha256 -binary | openssl base64 -A

ZosEbRLbNQzLpnKIkEdrPv7lOy9C27hHQ+Xp8a4MxAQ=

…与jQuery 站点上为https://code.jquery.com/jquery-1.12.4.min.js显示的哈希匹配：

<script
  src="https://code.jquery.com/jquery-1.12.4.min.js"
  integrity="sha256-ZosEbRLbNQzLpnKIkEdrPv7lOy9C27hHQ+Xp8a4MxAQ="
  crossorigin="anonymous"></script>

的版本/wp-includes/js/jquery/jquery.js是1.12.4。用于此的 SRI（哈希）是 

sha256-/EjR2A7OcaeaezmHf0EE1J09psNmXPbcIDAA+330RH4=

https://raw.githubusercontent.com/WordPress/WordPress/master/wp-includes/js/jquery/jquery.js（目前显示v1.12.4），当我检查它时，上面没有那个哈希；相反，它有这个：

$ curl -s -O https://raw.githubusercontent.com/WordPress/WordPress/922f83a69f47c68d9f7adac6520d1de04075d8be/wp-includes/js/jquery/jquery.js \
    && cat jquery.js | openssl dgst -sha256 -binary | openssl base64 -A

+gVfL3xbc127txlU9DSu15klvAD/L/vD7PxKeQaJpyM=

另请参阅关于子资源完整性的 MDN 文章的生成 SRI 哈希的工具部分。

于 2018-10-30T00:24:21.937 回答