Ajouter un attribut nonce aux éléments <script>

Avec un CSP basé sur un nonce, chaque élément <script> doit avoir un attribut nonce qui correspond à la valeur de nonce aléatoire spécifiée dans l'en-tête du CSP (tous les scripts peuvent avoir le même nonce). La première étape consiste à ajouter ces attributs à tous les scripts:

Bloquée par le CSP

<script src="/path/to/script.js"></script>
<script>foo()</script>

Le CSP bloque ces scripts, car ils ne disposent pas d'attributs nonce.

Autorisé par le CSP

<script nonce="${NONCE}" src="/path/to/script.js"></script>
<script nonce="${NONCE}">foo()</script>

Le CSP autorise l'exécution de ces scripts si "${NONCE}" est remplacé par une valeur correspondant au nonce dans l'en-tête de réponse du CSP. Notez que certains navigateurs masquent l'attribut "nonce" lors de l'inspection de la source de la page.