На этот вопрос уже есть ответ:

Я был на сайте начальной загрузки и недавно заметил, что их ссылки CDN содержат атрибут целостности с ключом SHA-384.

<script src="https://maxcdn.bootstrapcdn.com/bootstrap/3.3.6/js/bootstrap.min.js" integrity="sha384-0mSbJDEHialfmuBBQP6A4Qrprq5OVfW37PRR3j5ELqxss1yVqOtnepnHVP9aJ7xS" crossorigin="anonymous"></script>

Я предполагаю, что это должен быть способ проверки источника скрипта, но более того, мне было интересно, как он используется и является ли он частью какой-либо спецификации?

Кроме того, это работает только с сценариями src или может работать с любым источником не того же происхождения?