Subresource Integrity für Astro konfigurieren

SRI-Plugin konfigurieren

Installieren Sie ein Vite-SRI-Plugin und fügen Sie es in astro.config.mjs ein. Das Plugin generiert automatisch integrity-Attribute für alle bundled Scripts und Stylesheets im Build-Output. Verwenden Sie sha384 als Hash-Algorithmus -- er bietet das beste Verhaeltnis aus Sicherheit und Performance.

// astro.config.mjs -- SRI per Vite-Plugin
import { defineConfig } from 'astro/config';
import sri from 'vite-plugin-sri';

export default defineConfig({
  vite: {
    plugins: [sri()],
  },
});

SRI und CSP kombinieren

SRI und CSP-Nonces ergänzen sich: Die CSP bestimmt, welche Scripts geladen werden dürfen (per Nonce), und SRI stellt sicher, dass geladene Scripts nicht manipuliert sind (per Hash). Ein Script braucht einen gültigen Nonce oder Hash -- nicht beides gleichzeitig.

// src/middleware.ts -- SRI und CSP kombiniert
import { defineMiddleware } from 'astro:middleware';
import crypto from 'node:crypto';

export const onRequest = defineMiddleware(async (context, next) => {
  const nonce = crypto.randomUUID();
  context.locals.nonce = nonce;
  const response = await next();

  // CSP erlaubt Scripts per Nonce ODER per Hash
  // SRI-Hashes werden zusätzlich im HTML gesetzt
  response.headers.set('Content-Security-Policy',
    `script-src 'self' 'nonce-${nonce}' 'strict-dynamic'`);

  return response;
});

Best Practice: Self-Hosting statt CDN

Die sicherste SRI-Strategie ist Self-Hosting: Laden Sie externe Libraries herunter und bundeln Sie sie über Astros Build-Pipeline. Das Vite-Plugin generiert automatisch SRI-Hashes für alle lokalen Assets. Sie eliminieren die Abhaengigkeit von CDNs und vermeiden Hash-Mismatches bei CDN-Updates.

Wenn Self-Hosting nicht möglich ist, verwenden Sie versionierte CDN-URLs (lib@1.2.3) und dokumentieren Sie alle externen Abhaengigkeiten mit ihren SRI-Hashes. Erstellen Sie ein Script, das SRI-Hashes nach jedem Dependency-Update automatisch aktualisiert. Prüfen Sie regelmäßig, ob CDN-Ressourcen noch mit den gespeicherten Hashes uebereinstimmen.

Wolf-Agents hostet alle Scripts selbst und nutzt Astros Build-Pipeline für automatische SRI-Hashes. Externe Ressourcen werden ausschließlich über versionierte URLs geladen und die Hashes werden im Deployment-Prozess validiert.