เพิ่มแอตทริบิวต์ nonce ลงในองค์ประกอบ <script>

เมื่อใช้ CSP ที่อิงตาม Nonce องค์ประกอบ <script> ทั้งหมดต้องมีแอตทริบิวต์ nonce ที่ตรงกับค่า Nonce แบบสุ่มที่ระบุในส่วนหัว CSP (สคริปต์ทั้งหมดอาจมี Nonce เดียวกัน) ขั้นตอนแรกคือเพิ่มแอตทริบิวต์ต่อไปนี้ลงในสคริปต์ทั้งหมด

ถูกบล็อกโดย CSP

<script src="/path/to/script.js"></script>
<script>foo()</script>

CSP จะบล็อกสคริปต์เหล่านี้เนื่องจากไม่มีแอตทริบิวต์ "nonce"

CSP อนุญาต

<script nonce="${NONCE}" src="/path/to/script.js"></script>
<script nonce="${NONCE}">foo()</script>

CSP จะอนุญาตให้เรียกใช้สคริปต์เหล่านี้หากมีการแทนที่${NONCE} ด้วยค่าที่ตรงกับ Nonce ในส่วนหัวของคำตอบ CSP โปรดทราบว่าเบราว์เซอร์บางรุ่นจะซ่อนแอตทริบิวต์ "nonce" เมื่อตรวจสอบซอร์สโค้ดของหน้า