script tag 的 nonce 属性实际应用场景是什么？哪个场合会需要在加载 js 的时候附加 nonce？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

For Existing Member Sign In

• 请不要在回答技术问题时复制粘贴 AI 生成的内容

This topic created in 488 days ago, the information mentioned may be changed or developed.

文档链接 https://developer.mozilla.org/en-US/docs/Web/HTML/Global_attributes/nonce

nonce

CSP

4 replies • 2024-12-29 10:30:41 +08:00

v2yllhwa

Dec 29, 2024

防范 xss ，攻击者插入的脚本 nonce 对不上无法执行。

这是 CSP （内容安全策略）： https://developer.mozilla.org/zh-CN/docs/Web/HTTP/CSP

drymonfidelia

Dec 29, 2024

@v2yllhwa 这个链接里面没有和 nonce 有关的内容呀

drymonfidelia

Dec 29, 2024

@v2yllhwa 我知道 nonce 是 CSP 的一种，但是 script 是网页提供的，在 html 本身和响应头是来源于同一个服务器的，为什么会发生 XSS 呢

pike0002

Dec 29, 2024

防止 inline script 注入的。比如你有个博客，人家发评论的时候可能写了：
scirpt
alert("bad test");
script
如果你没有很好的处理 XSS 的话，这个脚本在你的文章页面打开加载评论的时候就会执行。如果用 nonce 的话只有加了 nonce 的脚本会被允许执行。这种评论里面插入的就不会执行了。