HTML nonce属性用法及代码示例

HTML 随机数属性是定义加密随机数的全局内容属性(”使用过一次的号码”)。它由以下人员使用内容安全政策(这是一个额外的安全层，有助于检测和减轻某些类型的攻击，例如数据注入攻击)检查是否允许对给定元素进行给定的提取t。一般来说，属性nonce指定了一种方式，通过该方式告诉浏览器某些样式元素或特定/特定脚本的内联内容不是由第三方注入到文档中的，而是由控制服务器的任何人故意放入文档中的。文件已送达。

它允许特定元素的列表，例如某些特定的内联脚本或样式元素。它有助于避免使用 CSP unsafe-inline 指令，该指令会 allow-list 所有内联样式。

nonce 属性的使用

如果不使用任何内容，请为脚本标记提供一个随机数属性。 nonce 属性的值必须与可信源列表中的值匹配。

例子：

<script nonce="EDNnf03nceIOfn39fn3e9h3sdfa">
    // Some inline code that I can't remove yet, but needed
</script>

现在需要将此随机数添加到附加到随机数关键字的 script-src 指令中。

Content-Security-Policy: script-src 'nonce-EDNnf03nceIOfn39fn3e9h3sdfa'

支持的浏览器：

• 谷歌浏览器
• 火狐浏览器 31.0 及以上版本
• 微软边
• Opera
• 苹果浏览器