外置js脚本未指定hash值导致与篡改猴的强制子资源完整性Subresource Integrity (SRI) 选项不兼容 选项设置为强制时外部js脚本无法加载 导致功能失效

[cokebar]

对应功能

安全性/兼容性问题

问题描述

@require引入的外部js建议加入hash值：
// @require https://raw.githubusercontent.com/lodash/lodash/4.17.21/dist/lodash.min.js#sha1=AE854B04025DB8B7F48FDD6DEDF41E77EAE44394
两方面考虑：

1. 安全性方面，指定hash值可以防止外部js被污染时威胁用户安全。
2. 保证与篡改猴的强制子资源完整性选项的兼容性，目前该选项改为“强制”后将会导致外部js无法加载。指定hash后问题解决。

脚本版本

2.9.1

脚本管理器及版本

5.1.1

浏览器及版本

与浏览器版本不相关

播放器版本

与播放器版本不相关

播放策略

默认

错误信息

userscript.html?name=Bilibili-Evolved-Preview.user.js&id=cbc6113c-9b31-4bd0-bc35-7dd7cb877698:2

@require: couldn't load @require from URL 'https://raw.githubusercontent.com/lodash/lodash/4.17.21/dist/lodash.min.js' due to a SRI error

附加截图

No response

致遇到了相同问题准备回复的人

太长不看：
1、遇到了相同的问题：请用左下角的 reaction 点赞
2、实时关注该 Issue 的后续进展：请用 Issue 页上的 Subscribe 功能（在 PC 端按钮通常位于页面右侧）。
请您回复前务必确认您有在本 Issue 之外补充了其它相关信息（比如 Log）再行回复以免对他人造成不必要的困扰

完整版

由于每个 Issue 甚至整个项目都是可以订阅通知的, 对于已经有人汇报过的 Bug, 如果您也遇到了并且没有其他信息要补充, 可以直接在左下点个赞表示 +1, 不要再去新增评论。想关注后续的可以用 Subscribe，Subscribe 之后该 Issue 如果有变动都可以收到通知，如果不想被回复打扰可以使用更加进阶的 Customize 功能，勾选 "Closed" & "Reopened"。Closed 通常代表该 Issue 已被解决，极少数情况下的 Reopened 代表该 Issue 的问题重新出现。如果您新增了无意义评论，因为 Issue 这个 bug tracker 与邮件列表类似，订阅某个 Issue 的用户会在每次这个 Issue 有新的动态时收到一封新的提醒邮件。也就是说，在 Issue 中的一个不能提供新的信息的评论，相当于给所有订阅这个 Issue 的用户发了一封垃圾邮件（spam）。尤其项目的维护者也是订阅者中的一员，太多垃圾邮件会对维护者带来很多不必要的困扰。发送垃圾邮件在开源社区通常是不那么受欢迎的行为。