웨이미 / 자료 콘텐츠
승인된 자료 내용물과 별도의 운송 수단을 이용하십시오.
공급업체가 HTTPS를 통해 타사 스크립트를 로드하는 운영자 포털을 시연합니다. 구매팀은 암호화된 전송을 스크립트가 승인된 버전이라는 증거로 받아들입니다. 여기서 간과되는 질문은 다운로드된 콘텐츠가 애플리케이션 소유자가 사용하려던 파일과 일치하는지 여부입니다. 이는 가상의 승인 격차이며, 실제 공급업체에 대한 문제가 아닙니다.
MDN의 하위 리소스 무결성 문서이 문서(최종 수정일: 2026년 4월 14일, 열람일: 2026년 10월 11일)는 브라우저가 가져온 리소스를 제공된 암호화 해시와 비교하는 방법을 설명합니다. 콘텐츠가 예상과 일치하지 않을 경우 로드가 거부되는 방식에 대해서도 설명합니다. 이는 HTTPS 전송 방식과는 다른 경계를 다룹니다.
이 가이드는 제공되는 자판기 운영자 포털에서 사용할 외부 스크립트 및 스타일에 대한 조달 검토 범위를 설명합니다. 실제 운영 중인 사이트에 스크립트를 삽입하거나, 해시값을 변경하거나, CDN을 테스트하거나, 애플리케이션을 인증하는 작업은 포함하지 않습니다. 담당 공급업체는 안전한 리소스를 갖춘 통제된 환경에서 합의된 사례를 시연해야 합니다.
아래의 실제 WEIMI 장비 목록 3개는 공개 정보용 간략 목록입니다. 이 목록은 외부 스크립트 사용 여부나 포함된 서비스의 SRI 지원 여부를 검증하는 것이 아닙니다. 장비 주문 시 이러한 요구 사항을 추가하기 전에 실제 포털 배포 환경과 소프트웨어 공급업체를 확인하십시오. 독립적인 장비 테스트 결과는 제시되지 않았습니다.
콘텐츠 일치 성공 및 콘텐츠 불일치 거부 모두 요청합니다.제공자는 승인된 리소스를 식별하고 해당 브라우저가 일치하는 콘텐츠를 로드하고 합의된 변경된 콘텐츠를 거부함을 입증해야 합니다. URL, 파일 이름 또는 HTTPS 연결만으로는 콘텐츠의 동등성이 입증되지 않습니다.
MDN에서는 스타일시트, 프리로드 또는 모듈 프리로드에 대한 스크립트 요소 및 링크 요소에 대한 SRI(서버 측 무결성 검사)를 설명합니다. 무결성 값에는 링크된 리소스의 알고리즘 접두사가 붙은 해시값이 포함됩니다. 검토는 지원되는 리소스 유형과 실제 브라우저 환경 내에서만 수행해야 하며, 자판기 시스템에서 사용하는 모든 파일에 대한 체크섬으로 SRI를 설명해서는 안 됩니다.
출처가 다른 리소스의 경우 CORS 설정 및 관련 마크업과 해시 증거를 요청하십시오. 인용된 페이지에서는 출처가 다른 SRI는 CORS를 사용해야 한다고 설명합니다. 무결성 값이 올바르게 표시된다고 해서 해당 리소스가 배포된 출처 및 응답 정책에 따라 로드될 수 있다고 단정할 수는 없습니다.
이러한 신호들은 서로 다른 속성을 나타냅니다. 완전한 승인 기록은 하나의 신호가 다른 모든 신호를 대신하지 않도록 각 신호의 범위를 명확하게 보여줍니다.
| 증거 | 지원하는 것 | 아직 해결되지 않은 부분이 있습니다. | 조달 관련 질문 |
|---|---|---|---|
| HTTPS 전송 | 목적지까지 안전한 운송 | 반환된 콘텐츠가 승인된 파일인지 여부 | 검토될 것으로 예상되는 내용은 무엇인가요? |
| 리소스 URL | 페이지가 리소스를 요청하는 경우 | 해당 URL이 고정된 콘텐츠를 반환하는지 여부 | 누가 관리하고 버전을 변경하나요? |
| 무결성 메타데이터 | 예상 콘텐츠 해시값이 지정되었습니다. | 범위 내 실제 일치 및 거부 | 브라우저가 일치 조건을 강제합니까? |
| CORS 계약 | 응답 정책에 따른 교차 출처 액세스 | 리소스 정확성 및 업데이트 소유권 | 실제 출처에서 SRI 로딩을 지원합니까? |
| 보고서 전용 정책 | 위반 사항은 관련 절차가 지원되는 경우 신고할 수 있습니다. | 해당 정책에서는 차단 기능이 활성화되어 있지 않습니다. | 이것은 감시인가요, 아니면 강제 집행인가요? |
| 제어된 업데이트 기록 | 리소스 및 메타데이터 변경 사항을 검토합니다. | 향후 배치 방향의 변화 | 다음 버전을 승인하는 사람은 누구인가요? |
이 가이드는 장비 제안서에 CDN과 같은 다른 호스트에서 관련 스크립트나 스타일을 로드하는 브라우저 기반 운영자 포털이 포함된 경우에 사용하십시오. 먼저 실제 배포 환경에 그러한 리소스가 존재하는지 확인하십시오. 일반적인 클라우드 기능은 페이지의 리소스 설계를 보여주지 않습니다.
애플리케이션 제공업체는 리소스 목록과 승인된 버전을 명시해야 합니다. 호스팅 또는 리소스 소유자는 배포 및 CORS 동작 방식을 설명해야 합니다. 구매자 측 기술 검토자는 안전성 증거와 브라우저 호환성을 평가해야 합니다. 구매 담당자는 임의의 해시값을 선택하는 대신 업데이트 소유권을 지정해야 합니다.
이 요약본은 전송 보호에 대한 논의가 이미 이루어졌지만 외부 파일 내용이 증거 자료에 포함되지 않은 경우에 유용합니다. 또한 외부 종속성이 포털 릴리스와 무관하게 변경되는 경우에도 도움이 됩니다. SRI는 예상치 못한 콘텐츠 변경을 로드 거부로 전환할 수 있지만, 팀은 여전히 통제된 복구 및 업데이트 프로세스가 필요합니다.
저희는 2026년 10월 10일에 저장된 기록에서 검토한 공개 WEIMI 제품 증거를 사용합니다. 소매 접근성, 조제 옵션 및 캐비닛 배치를 비교합니다. 이러한 설명 중 어느 것도 운영자 애플리케이션의 외부 리소스 설계를 입증하지 못합니다. 최종 후보로 선정된 어떤 제품에 대해서도 SRI 구현이 검증되지 않았습니다.
먼저 서비스를 정의하십시오. 실제 포털과 해당 소프트웨어 제공업체를 명시하고, 제안된 검토에 포함될 스크립트 또는 스타일시트 리소스를 식별하십시오. 브라우저 리소스 요구 사항을 캐비닛 펌웨어, 다운로드된 모든 보고서 또는 확인되지 않은 API로 확장하지 마십시오. 이러한 항목들은 별도의 무결성 메커니즘과 증거가 필요합니다.
둘째, 승인된 콘텐츠를 확인하십시오. 제공업체가 예상 해시값을 계산하기 전에 리소스 버전을 어떻게 확보하고 검토하는지 문의하십시오. 해시값은 콘텐츠 일치 여부를 확인할 수 있지만, 해당 콘텐츠가 안전하거나 적절하다는 것을 보장하지는 않습니다. 승인 결정 자체에도 출처와 기술적 검토가 필요합니다.
셋째, 안전한 승인 시연에 합의합니다. 공급자가 제어하는 환경에서 승인된 리소스는 로드되어야 하고, 의도적으로 변경된 테스트 리소스는 동일한 의도된 구성에서 거부되어야 합니다. 프로덕션 리소스를 변경하지 않고 브라우저, 빌드 및 결과를 기록합니다.
마지막으로 운영상의 영향을 검토하십시오. 스크립트 또는 스타일시트 로드 실패는 포털의 사용성에 영향을 미칠 수 있습니다. 예상되는 오류 또는 지원팀에 인계하고 승인된 복구 프로세스를 요청하십시오. 리소스가 예기치 않게 변경될 때마다 무결성 메타데이터를 단순히 제거하는 임시 해결책은 허용하지 마십시오.
콘텐츠 승인은 해시 계산 전에 이루어집니다.MDN에서는 SRI를 가져온 콘텐츠가 예상과 일치하는지 확인하는 과정이라고 설명합니다. 이 메커니즘은 코드의 동작 방식을 검토하는 것이 아닙니다. 콘텐츠 무결성 메타데이터를 수락하기 전에 제공업체에 승인된 버전과 승인 관리 방식을 명확히 제시해 달라고 요청하십시오.
불일치는 특정한 결과를 초래합니다.브라우저는 실행 전 스크립트 또는 적용 전 스타일시트를 예상 해시 값과 비교합니다. 선택된 해시 값 중 일치하는 것이 없으면 로드가 거부되고 네트워크 오류가 반환된다고 문서에 명시되어 있습니다. 합의된 테스트에서 속성 스크린샷만 요청하는 대신 이러한 결과를 요청하십시오.
여러 해시는 각각 정의된 의미론을 가지고 있습니다.MDN에 따르면 브라우저는 제공된 알고리즘 중 가장 강력한 알고리즘을 사용하여 해시를 선택합니다. 선택된 해시 집합 중에서 제공된 값과 일치하는 해시가 있으면 로드가 허용됩니다. 이는 승인된 대안을 허용할 수 있지만, 나열된 모든 해시가 일치해야 한다는 의미는 아닙니다. 어떤 대안이 의도적으로 허용되는지 문의하십시오.
원산지 간 적재에는 CORS가 필요합니다.출처에 따르면 교차 출처 SRI 요청은 CORS를 사용해야 하며, 리소스 호스트에서 적절한 응답 헤더를 보내고 마크업에 crossorigin 속성을 포함해야 합니다. CORS를 사용하지 않는 로딩은 이와 동일하게 취급할 수 없습니다. 실제 요청 출처와 리소스 호스트에 대한 증거를 요청하십시오.
메타데이터 적용 범위는 별개의 문제입니다.하나의 스크립트로 보호한다고 해서 모든 관련 리소스가 보호되는 것은 아닙니다. 보호 범위에 포함된 실제 스크립트와 스타일을 목록화하십시오. 페이지에는 여러 소유자 또는 배포 패턴이 있을 수 있습니다. 전체 포털에 대한 보증 레이블을 지정하는 대신 지원되지 않는 범위는 열어 두십시오.
신고만으로는 강제 집행이 아닙니다.MDN은 정책을 위반하는 요청을 허용하면서 설정된 경우 이를 보고하는 Integrity-Policy-Report-Only 헤더와 관련 요청을 차단하는 Integrity-Policy 헤더를 구분합니다. 공급자가 이러한 헤더를 제안하는 경우, 의도하는 클라이언트와 실제 모드에서 지원되는지 확인하십시오. 이 문서는 모든 브라우저에서 지원된다고 보장하지 않습니다.
업데이트에는 공동 책임자의 협력이 필요합니다.리소스의 승인된 콘텐츠가 변경되면 예상 메타데이터도 검토 후 업데이트해야 합니다. 릴리스 소유자와 증거 보존 기간을 지정하십시오. 버전이 지정되지 않은 리소스 URL은 다른 당사자의 변경 프로세스에 대한 실질적인 종속성을 초래할 수 있으므로, 공급자는 이러한 상황을 어떻게 관리하는지 설명해야 합니다.
무결성이 운송이나 승인을 대체하는 것은 아닙니다.일치하는 리소스는 운영자의 권한, 다른 연결의 기밀성 또는 판매 거래의 정확성에 대해서는 아무런 정보를 제공하지 않습니다. SRI, HTTPS 및 비즈니스 운영 검사는 별도의 승인 기록에 보관하십시오.
이 정식 목록은 WEIMI와의 논의를 위한 세 가지 소매 형식을 제시합니다. 스크립트 호스트, 무결성 속성, CORS 정책 또는 브라우저 지원은 명시하지 않습니다. 최종 구성 및 포함된 운영자 서비스는 별도로 요청하십시오.
대중 투표 최종 후보 / 1
제품 설명에는 카메라 인식 기능, 5단 선반에 5개의 바구니, 그리고 상단에 스크린 또는 라이트박스가 설치되어 있다고 명시되어 있습니다. 최종 냉각 및 진열 구성이 확정되었는지 확인하십시오. 이 형식은 주스를 직접 제조하는 것이 아니라 포장된 제품을 판매하는 데 적합합니다.
포함된 인식 관리 애플리케이션이 브라우저 기반인 경우, 해당 애플리케이션의 실제 리소스 목록을 요청하십시오. 카메라 인식은 특정 스크립트 라이브러리나 콘텐츠 무결성 설계를 확립하지 않습니다. 증거를 명시된 애플리케이션과 연결하십시오.
공용 장비 목록을 확인하세요대중 투표 최종 후보 / 2
공개 페이지에는 21.5인치 터치스크린, 냉각 및 재고 관리 기능에 대한 설명이 있습니다. 나선형, 컨베이어, 직접 밀어넣기 및 걸이식 옵션은 주문 확인이 필요합니다. 선택한 메커니즘으로 실제 포장을 시험해 보세요.
포함된 인벤토리 포털의 경우, 관련 외부 스크립트나 스타일이 있는지 공급업체에 문의하십시오. 터치스크린이나 인벤토리 기능은 호스트, 승인된 콘텐츠 또는 SRI 적용 범위를 표시하지 않습니다.
공용 장비 목록을 확인하세요대중 투표 최종 후보 / 3명
해당 페이지에는 메인 디스플레이 캐비닛과 눈에 보이는 또 다른 나선형 재고 보관 공간이 나와 있습니다. 공유 소프트웨어, 독립 냉각 시스템 및 정확한 용량은 본 검토에서 확인되지 않았습니다. 최종 스테이션 범위를 확인하십시오.
제안서에 방송국 관리 포털이 포함된 경우, 해당 소프트웨어의 소유자와 배포 프로세스를 명시하십시오. 두 개의 물리적 판매 구역이 있다고 해서 웹 애플리케이션이나 외부 리소스 공유 정책을 수립하는 것은 아닙니다.
공용 장비 목록을 확인하세요하드웨어 차이점을 활용하여 소매 전략을 선택하십시오. 소프트웨어가 포함된 경우, 콘텐츠 무결성 증거를 요청하기 전에 실제 리소스 설계 방식을 파악하십시오. 캐비닛의 외관만으로는 브라우저 리소스 기능을 판단할 수 없습니다.
| 후보자 | 공공 소매점 특징 | 소프트웨어 요청 | 경계 |
|---|---|---|---|
| AI 비전 냉장고 | 제품 인식 및 매장 진열대 바로가기 | 포함된 경우 실제 브라우저 기반 설치 애플리케이션 | 추론된 라이브러리 또는 SRI 없음 |
| WM22 | 터치스크린 및 메커니즘 옵션 | 포함된 재고 포털 리소스 범위 | 추론된 외부 스크립트 호스트 없음 |
| 듀얼 스테이션 | 메인 수납장과 추가 수납 공간이 있습니다. | 방송국 애플리케이션 소유자 및 릴리스 프로세스 | 추론된 공유 웹 서비스 없음 |
가상 리뷰 예산:공급자의 자원 재고를 대조하는 데 45분, 통제된 일치 및 거부 증거를 관찰하는 데 50분, 업데이트 프로세스를 기록하는 데 40분이 소요된다고 가정하면 총 135분, 즉 2.25시간이 걸립니다. 시간당 37달러로 가정할 때 내부 인건비는 83.25달러입니다.
추후 승인된 리소스 업데이트에 동일한 요율로 30분 검토가 필요하며, 비용은 미화 18.50달러라고 가정해 보겠습니다. 이 경우 총 예상 비용은 미화 101.75달러입니다. 이는 가상의 계획 입력값이며, 실제 WEIMI 가격, 테스트 노력 또는 전문 보안 평가 비용이 아닙니다.
이 예산에는 구현, 리소스 검토, 호스팅 및 문제 해결 비용이 포함되지 않습니다. 담당 공급업체로부터 실제 작업 범위 및 견적을 받으십시오. 이 예시에서는 사고 예방에 대한 가치를 부여하지 않았으며, 매출 증가, 장비 투자 회수 또는 검색 순위 향상을 예측하지 않았습니다.
상업적 비교를 통해 증거 자료와 지속적인 소유권이 포함된 제안을 확인할 수 있습니다. 구매 결정은 실제 비용과 책임 범위를 기준으로 내려야 합니다. 콘텐츠 일치 판정을 받았다고 해서 코드 품질이나 소매 실적이 보장되는 것은 아니며, 이러한 부분은 별도의 증거 자료가 필요합니다.
일치하는 리소스가 로드됩니다.특정 리소스, 브라우저 및 빌드에 대한 결과를 기록합니다. 그런 다음 합의된 불일치 결과를 요청합니다. 성공 여부만으로는 예상치 못한 콘텐츠가 거부될 것이라는 것을 입증할 수 없습니다.
CDN이 파일을 변경합니다.소유자에게 새 콘텐츠가 승인되었는지, 그리고 애플리케이션 릴리스에서 메타데이터가 어떻게 업데이트될지 확인하도록 요청하십시오. 로드가 거부된 경우, 자동 검사 제거가 아닌 통제된 검토가 이루어져야 합니다.
승인된 버전은 여러 개 허용됩니다.메타데이터에 어떤 해시값과 알고리즘이 나타나는지 문의하십시오. MDN의 가장 강력한 알고리즘과 모든 일치 의미 체계가 허용되는 집합을 결정합니다. 모든 버전이 동시에 일치해야 한다는 요구 조건으로 여러 값을 설명하지 마십시오.
출처가 다른 리소스에서 오류가 발생했습니다.제공업체가 해시 결과와 CORS 또는 요청 모드 결과를 구분하도록 해야 합니다. 리소스 호스트의 응답과 페이지 마크업 모두 관련이 있습니다. 오류만으로는 구매자가 어떤 조건에서 오류가 발생했는지 알 수 없습니다.
서비스 제공업체는 보고서 전용 배포를 제안합니다.차단보다는 관찰로 기록하십시오. 정책 시행 전환 전에 지원되는 클라이언트와 보고서 처리 방식을 확인하십시오. 이 가이드는 헤더 변경을 수행하지 않으며 실제 배포가 제안된 정책을 지원한다는 주장을 하지 않습니다.
서비스 이름, 리소스 유형, 승인된 버전, 호스트, 예상 메타데이터 소유자, 교차 출처 요구 사항, 지원되는 클라이언트 및 업데이트 프로세스를 포함하는 리소스 등록부를 생성하십시오. 실제 배포 범위를 사용하고 누락된 증빙 자료는 비워 두십시오. 이는 제안된 조달 기록이며, 구현된 WEIMI 기능이 아닙니다.
공인 공급업체에게 무해한 테스트 리소스를 사용하여 제어된 일치 및 불일치 데모를 제공하도록 요청하십시오. 결과는 브라우저 및 애플리케이션 빌드와 연관되도록 유지하십시오. 조달 과정에서 운영 스크립트를 교체하거나 변경된 코드를 운영 포털에 업로드해서는 안 됩니다.
승인된 콘텐츠의 출처와 관련 메타데이터를 함께 보존해야 합니다. 등록부에는 리소스 업데이트를 승인한 사람과 해당 업데이트를 적용한 배포 환경이 표시되어야 합니다. 소스 버전과 분리된 해시값만으로는 해당 콘텐츠가 승인된 이유를 설명할 수 없습니다.
배포 후에도 허용 한도를 명확하게 표시하십시오. 새로운 스크립트, 스타일, 출처 또는 클라이언트 유형이 범위에 포함되면 적용 범위를 다시 검토하십시오. 운영자 워크플로와 하드웨어 작동은 별도로 검증하십시오. 콘텐츠 일치는 특정 리소스 경계를 보호하는 것이지 장비 프로젝트의 모든 측면을 보호하는 것은 아닙니다.
아니요. 전송 보호와 리소스 콘텐츠 일치는 별개의 속성입니다.
MDN에 따르면 브라우저가 해당 리소스를 로드하지 못하고 네트워크 오류를 반환합니다.
아니요. 브라우저는 제공된 알고리즘 중 가장 강력한 알고리즘을 사용하며, 선택된 해시값 집합 내의 모든 해시값과 일치하는 경우를 허용합니다.
아니요. 공식 문서화된 교차 출처 메커니즘은 CORS와 관련 마크업을 필요로 합니다.
인용된 페이지는 차단 없는 보고와 강제 헤더를 구분합니다. 실제 브라우저 지원 및 배포 모드를 확인하십시오.
아니요. 공개된 장비 설명에는 운영자 포털이 포함되어 있다는 내용이 명시되어 있지 않습니다.
어떤 콘텐츠가 승인되는지, 브라우저가 어떻게 확인하는지, 그리고 콘텐츠가 다를 경우 어떤 일이 발생하는지 문의하십시오. 리소스의 실제 출처, 허용된 해시 세트 및 제어된 업데이트 프로세스를 검토하십시오. 콘텐츠 일치 증거는 전송 보안 및 광범위한 코드 보증과 분리하여 관리하십시오.
공개된 정보와 실제 패키지 테스트를 통해 하드웨어 형식을 선택한 후, 포함된 소프트웨어 서비스를 확인하십시오. 이 문서에서는 SRI 구현 여부를 검증하지 않으며, 보안 테스트를 수행하지 않고, 선정된 기기에 대한 취약점을 발견하지도 않습니다.
