Repository navigation
callflow-html et tree chargent leur bibliothèque depuis un CDN sans version figée ni SRI #52
Description
Context
Repéré en implémentant #50 (évaluation de callflow-html et tree comme base de la vue zoom). Les deux exports chargent leur bibliothèque depuis un CDN, sans version figée ni intégrité SRI :
graphify/callflow_html.py:<script src="https://cdn.jsdelivr.net/npm/mermaid@11/dist/mermaid.min.js">(plage@11, pas deintegrity)graphify/tree_html.py:<script src="https://d3js.org/d3.v7.min.js">(plagev7, pas deintegrity)
Une version publiée ou compromise sur le CDN s'exécute dans la page ouverte par l'utilisateur, et la page ne s'affiche pas hors ligne. graph.html fige déjà sa bibliothèque avec SRI.
User story
En tant que développeur qui ouvre un export HTML, je veux que la page n'exécute que le code exact attendu, afin de ne pas dépendre d'un tiers qui peut changer ce code à mon insu.
Acceptance criteria
-
callflow-htmlettreeréférencent une version exacte de leur bibliothèque, avecintegrityetcrossorigin, commegraph.html - Un test vérifie la présence de l'attribut
integritysur chaque<script src>des exports HTML - Option évaluée : bibliothèque embarquée pour un usage hors ligne
Hints
graphify/callflow_html.py:1708,graphify/tree_html.py:282- Repéré en implémentant Vue du graphe compréhensible d'un coup d'œil, même sur un gros dépôt #50
Hors scope
- Remplacer Mermaid ou D3 par un autre moteur de rendu
Activity
github-actions commentedon Oct 11, 2026
Thanks for opening this issue, @alexwrite. A maintainer will take a look soon.
If you would like to discuss it in real time, come say hi on our Discord server. For longer-form questions and ideas there is also GitHub Discussions.
To help us triage, please make sure the report includes what you expected, what actually happened, and the steps (and a small sample) to reproduce it.