在网络应用程序开发中，我们通常会使用 JavaScript 来实现动态交互和页面功能。然而，JavaScript 也可能会被用于攻击用户或网站，例如通过恶意注入脚本来窃取敏感信息或操纵网页。
为了保护用户和网站安全，现代浏览器提供了一些机制来拒绝执行 JavaScript 脚本。在本文中，我们将介绍这些机制，并讨论如何在实际开发中应用它们。
Content Security Policy
内容安全策略（Content Security Policy，CSP）是一项浏览器安全功能，可以限制网页加载的资源类型和来源。其中包括限制 JavaScript 的来源和允许的操作，从而防止跨站点脚本攻击（Cross-Site Scripting，XSS）等漏洞。
要使用 CSP，需要在 HTTP 响应头中添加 Content-Security-Policy 或 Content-Security-Policy-Report-Only 指令。例如：
------------------------ ----------- ------- ---------- ------ -----------
该指令表示只允许从同源（'self'）加载资源，而且只允许从 example.com 加载 JavaScript 脚本。如果其他来源的脚本被引用，将被拒绝执行。
Subresource Integrity
子资源完整性（Subresource Integrity，SRI）是一种浏览器安全功能，可以验证脚本资源是否被篡改。它通过使用哈希值来确认资源的完整性，从而防止恶意脚本注入攻击。
要使用 SRI，需要在 script 标签中添加 integrity 属性，该属性包含资源的哈希值和算法。例如：
------- -----------------------------------
--------------------------------------------------------------
---------------------------------当脚本加载完成后，浏览器会自动检查哈希值是否匹配。如果不匹配，则脚本将被拒绝执行。
示例代码
下面是一个示例代码片段，演示如何在 HTML 中应用 CSP 和 SRI：
--------- -----
------
------
----- ----------------
-------------------
----- ------------------------------------ -------------------- ------- ---------- ------ -------------
-------
------
-----------------
------- -----------------------------------
--------------------------------------------------------------
---------------------------------
-------
-------上述代码中，Content-Security-Policy 指令限制了脚本只能从同源或 example.com 加载。同时，script 标签包含了 integrity 属性，确保了脚本的完整性。
总结
拒绝执行 JavaScript 脚本是保护用户和网站安全的重要手段。CSP 和 SRI 是现代浏览器提供的两个工具，可以限制脚本来源和验证资源完整性。在实际开发中，我们应该充分利用这些机制来提高网页的安全性。
来源：JavaScript中文网 ，转载请注明来源 本文地址：https://www.javascriptcn.com/post/11668