Esta pergunta já tem uma resposta aqui:

Eu estava no site do bootstrap e notei recentemente que seus links CDN continham um atributo de integridade com uma chave SHA-38

<script src="https://maxcdn.bootstrapcdn.com/bootstrap/3.3.6/js/bootstrap.min.js" integrity="sha384-0mSbJDEHialfmuBBQP6A4Qrprq5OVfW37PRR3j5ELqxss1yVqOtnepnHVP9aJ7xS" crossorigin="anonymous"></script>

Suponho que seja para ser uma maneira de verificar a fonte do script, mas, mais ainda, eu queria saber como ele é usado e se isso faz parte de alguma especificaçã

lém disso, isso funciona apenas com scripts src ou pode funcionar com qualquer fonte que não seja da mesma orige