הוספת מאפיין nonce לרכיבי <script>

ב-CSP שמבוסס על קוד חד-פעמי, לכל רכיב <script> צריך להיות מאפיין nonce שמתאים לערך החד-פעמי האקראי שצוין בכותרת ה-CSP (לכל הסקריפטים יכול להיות אותו קוד חד-פעמי). בשלב הראשון מוסיפים את המאפיינים האלה לכל הסקריפטים:

הדף נחסם על ידי CSP

<script src="/path/to/script.js"></script>
<script>foo()</script>

ה-CSP יחסום את הסקריפטים האלה כי אין להם מאפייני nonce.

מותר על ידי CSP

<script nonce="${NONCE}" src="/path/to/script.js"></script>
<script nonce="${NONCE}">foo()</script>

CSP יאפשר את ביצוע הסקריפטים האלה אם הערך של${NONCE} יוחלף בערך שתואם ל-nonce בכותרת התגובה של CSP. חשוב לזכור שחלק מהדפדפנים יסתירו את המאפיין 'nonce' כשבודקים את מקור הדף.