关于html5：脚本和样式元素的HTML“nonce”属性的目的是什么？
💡
原文中文，约1300字，阅读约需3分钟。
📝
内容提要
W3C在HTML5.1中引入了nonce属性，用于style和script元素，可用于网站的内容安全策略。nonce属性允许白名单内联script和style，避免使用csp unsafe-inline指令。通过生成随机的base64编码字符串作为nonce值，插入到内联script和style中，确保这些元素不是第三方注入的。使用nonce是一种替代方法，不使用散列值来指定允许的内联script和style。静态nonce会破坏使用nonce的目的，因为此时也可以使用unsafe-inline。
🎯
关键要点
- W3C在HTML5.1中引入了nonce属性，用于style和script元素，支持网站的内容安全策略。
- nonce属性允许白名单内联script和style，避免使用csp unsafe-inline指令。
- 使用nonce可以确保内联script和style不是由第三方注入，而是由控制文档的服务器放入。
- 生成nonce的步骤包括使用安全的随机数生成器生成base64编码字符串，并将其插入到内联script和style中。
- 使用nonce的机制是一种替代方法，不需要使用内容散列来指定允许的内联script和style。
- 静态nonce会破坏使用nonce的目的，建议动态生成nonce以确保安全性。
➡️
