指令碼HTTP200卻被SRI阻擋？核對發布位元組

授權的地區瀏覽器測試中，指令碼收到HTTP200，頁面卻沒有出現預期就緒狀態，主控台指出完整性不符。下載成功與允許執行是不同觀察。更換代理出口前，先釐清HTML指定哪個發布版本，以及瀏覽器收到的實際位元組。本文是受控驗收設計，並非98IP實測報告。

1. 確認真正失敗的瀏覽器檢查

子資源完整性SRI讓頁面以integrity屬性，為指令碼或樣式表指定加密摘要。資源未通過適用的完整性驗證，就不能作為該資源使用。HTTP200只代表HTTP回應狀態，不能證明摘要通過或程式已執行。

記錄實際元素解析後的src、integrity和crossorigin、最終回應URL、狀態、內容類型及主控台原始分類，並保存HTML部署版本與資源發布ID。查詢中的祕密需遮蔽。包裝程式統一顯示「代理指令碼錯誤」，不足以判定哪一層失敗。

摘要不符、CSP拒絕、CORS失敗、JavaScript MIME類型錯誤、網路失敗與執行後例外，都可能使就緒標記缺席。主控台若指出政策拒絕，應與管理者檢查政策，另參考CSP資源診斷指南，避免混成同一問題。

2. 以獨立核准產物比較正確位元組

預期資料來自管理者審核的最終建置產物，已完成核准的原始碼壓縮等建置轉換。簡單案例採發布流程產生的單一SHA384完整性值；其格式是演算法前綴加Base64摘要，而非把十六進位校驗和貼在前綴後。不要虛構摘要，長度符合也不足以證明正確。

比較的是解除HTTP內容編碼後的表示位元組。gzip或Brotli傳輸壓縮檔，與解碼後指令碼不是同一輸入。不可轉換換行、另存編碼、排版原始碼，或對從開發工具複製的文字算摘要，否則可能改變調查對象。工具無法保存對應解碼位元組，就註明證據限制。

預期摘要取自獨立審核產物，診斷摘要取自觀察的解碼回應，兩者來源分開。把可疑回應算出的新摘要直接填回HTML，只是換了預期，無法證明收到的是核准版本。

3. 用三個自有案例檢查驗收邊界

1. 準備自有HTTPS預備環境和無害指令碼，每次執行產生可區分的新標記。不得觸發真實廣告、分析、結帳或客戶資料；事先約定標記與發布ID。
2. 正例使用最終審核指令碼及相符摘要，先用同源資源，將跨來源設定分開。確認CSP允許、指令碼內容類型適當。
3. 負例在另一份自有副本只改一個無害註解位元組，仍用正例舊摘要；預期完整性拒絕且沒有新的執行標記，其餘條件相同。
4. 修正例是管理者審核的新發布版本，HTML摘要與資源成對，應有自己的標記；改動副本負例仍應失敗。
5. 經核准基線和選定住宅路徑各跑三例，使用等價初始瀏覽器狀態，記實際出口，比較期間固定會話政策。
6. 將主控台、最終資源位元組、HTML屬性和新標記對齊；案例間清理或版本化標記，避免先前成功假裝成這次執行。

上述為預期結果，不是量測成果。沒有授權基線須明確註明。刻意修改副本只證明驗收能偵測差異，不能證明正式CDN或代理改過檔案。

4. 從首次發布與交付差異定位

• 舊HTML在可變資源網址拿到新內容：查部署順序、HTML快取和CDN替換，依管理者流程恢復配對版本，優先採其不可變版本資源機制。
• HTML正確但實收內容不同：對照最終URL、重新導向、CDN部署版本與核准的邊緣轉換。
• 解碼位元組符合審核產物仍拒絕：檢查完整性原值、演算法及輸出格式、資源適用條件與CORS訊息，不靠手改字串判成功。
• 只有一地不同：保留當地HTML與資源版本、快取及部署證據，再調查出口因素。
• 完整性通過但頁面異常：另查執行期和應用就緒；SRI通過不保證業務行為正確或程式安全。

瀏覽器快取、Service Worker及CDN可能交付不同版本組合。記錄回應來源並以等價初始狀態重現，不任意加繞快取參數而不說明，它可能改路由或內容。一般未攔截TLS的HTTPS代理無法修改目標加密指令碼；授權TLS檢查是另一信任邊界，需另記。

5. 跨來源也需符合CORS

跨來源SRI資源須同時符合CORS。對管理者核准的公開靜態檔，適當的anonymous跨來源請求加資源伺服器對應授權是常見設計，但仍應核對實際請求模式及回應。正確摘要不能補足跨來源權限。

不應盲開帶憑證跨來源權限、關閉憑證檢查、移除integrity、停用CSP或裝繞過安全檢查的擴充。核准資源變更後，更新審核發布資料並一致部署HTML與檔案，保留不符摘要負例，確認修復沒有取消檢查。

證據包包含合成案例ID、脫敏元素屬性、最終URL、發布ID、解碼位元組比較、主控台分類、快取與Service Worker觀察及新執行標記。不留Cookie、認證標頭或代理密碼。畫面截圖只能輔助，不能取代位元組來源。

6. 固定98IP測試路徑並完成驗收

授權網站測試需要住宅路徑，可查看98IP動態住宅IP產品頁與API設定文件，使用帳戶支援的接入方式與參數。先固定頁面及產物預期，再逐一路徑比較。

代理提供網路路徑，無法修正過期發布資料，也不保證瀏覽器執行、目標相容性或地區結果。限制合成請求並查看帳戶真實用量，遵守目標授權。本文不承諾效能或計費成果。

• 主控台已區分SRI、CORS、CSP、MIME、網路與執行期失敗。
• 預期來自獨立審核最終產物。
• 摘要使用未正規化文字的解碼表示位元組。
• 正例與修正例出現新標記，改動負例仍遭拒絕。
• HTML、資源、快取、Service Worker及地區發布證據相互對應。
• 修復保留完整性及跨來源安全控制。

HTTP200仍可能阻擋執行嗎？ 可以，成功收到回應後仍可能未通過完整性。

SRI失敗能證明代理改檔嗎？ 不能，發布配對、交付版本和安全條件都要有獨立證據。

可用下載檔摘要直接改HTML嗎？ 預期應由審核發布流程建立，單憑可疑回應摘要無法驗證其來源。