Subresource Integrity e CDN
Carregar uma biblioteca JavaScript de um CDN significa confiar que aquele servidor de terceiros nunca vai servir um arquivo diferente do que foi testado; o atributo `integrity`, parte da especificação Subresource Integrity do W3C, elimina essa confiança cega comparando um hash calculado antes com o hash do arquivo que chega no navegador.
384 bits em base64 sempre rendem 64 caracteres após o prefixo do algoritmo; é o tamanho que a maioria dos CDNs (jsDelivr, cdnjs) já entrega pronto ao lado do link do arquivo.
Os três hashes vêm do mesmo arquivo, então qualquer um dos três protege igualmente contra alteração; o comprimento maior do SHA-512 não significa mais proteção prática aqui, só reflete o tamanho maior do digest, 512 bits contra 256.
Para uma folha de estilo o gerador monta a tag `<link>` em vez de `<script>`, mas a regra é a mesma: sem `crossorigin="anonymous"` numa origem diferente, o navegador não consegue ler os bytes para conferir o hash e recusa aplicar o CSS.
É um mecanismo do navegador que valida a integridade de scripts e estilos carregados de outras origens. O HTML declara o hash esperado no atributo integrity, e o navegador recusa o recurso se o conteúdo não corresponder.
Porque sem `crossorigin="anonymous"` numa origem diferente da página, a resposta chega como opaca pelas regras de CORS, e uma resposta opaca não expõe seus bytes para o navegador calcular hash nenhum; a verificação de integridade não tem como acontecer, então o recurso é recusado independente do hash estar correto.
Sim. O `integrity` trava o arquivo exato daquela URL no momento em que o hash foi gerado; se o CDN publicar uma nova versão no mesmo endereço, ou corrigir um bug no arquivo, o hash muda e a página para de carregar o recurso até o `integrity` ser recalculado para o novo conteúdo.
Os três protegem igualmente contra alteração do arquivo, porque qualquer mudança de um byte já muda o hash resultante nos três; SHA-384 é a escolha mais comum porque é o que a maioria dos geradores de CDN oferece por padrão, não porque SHA-256 seja inseguro para esse uso.
Funciona, mas o atributo `crossorigin` deixa de ser necessário quando o recurso é da mesma origem da página, já que não há restrição de CORS a contornar; o `integrity` sozinho já garante que o navegador rejeite o script caso o arquivo local seja alterado sem atualizar o hash.
———O snippet aparece aquiO hash é calculado apenas no navegador com WebCrypto. O conteúdo e o arquivo não são enviados a servidores. A URL é usada só para montar o snippet, sem ser acessada.