Thêm thuộc tính nonce vào phần tử <script>

Với CSP dựa trên số chỉ dùng một lần, mỗi phần tử <script> phải có một thuộc tính nonce khớp với giá trị số chỉ dùng một lần ngẫu nhiên được chỉ định trong tiêu đề CSP (tất cả tập lệnh có thể có cùng một số chỉ dùng một lần). Bước đầu tiên là thêm các thuộc tính này vào tất cả các tập lệnh:

Bị chặn theo CSP

<script src="/path/to/script.js"></script>
<script>foo()</script>

CSP sẽ chặn các tập lệnh này vì chúng không có thuộc tính "nonce".

Được CSP cho phép

<script nonce="${NONCE}" src="/path/to/script.js"></script>
<script nonce="${NONCE}">foo()</script>

CSP sẽ cho phép thực thi các tập lệnh này nếu `${NONCE}` được thay thế bằng một giá trị khớp với số chỉ dùng một lần trong tiêu đề phản hồi CSP. Xin lưu ý rằng một số trình duyệt sẽ ẩn thuộc tính "nonce" khi kiểm tra nguồn trang.