nonce 是 Content Security Policy（CSP）中实现内联脚本安全执行的核心机制——它并非“配合”脚本白名单，而是以动态、一次性随机令牌的方式，直接构成更安全、更灵活的白名单本身；服务端必须为每次响应生成唯一 nonce，严格同步注入 CSP 响应头与 script 标签，任何字符不匹配、缓存复用、模板转义缺失或构建工具遗漏都会导致失效；相比静态哈希，nonce 适用于 SSR 和动态上下文场景，但绝不支持 eval、内联事件等高危行为，真正考验的是端到端链路的严谨性与安全性落地能力。

nonce 属性不能“配合” CSP script 白名单，它本身就是白名单机制的一种实现方式——而且是比 'unsafe-inline' 更安全、比哈希值更灵活的替代方案。

为什么直接写 script 标签会触发 CSP 拒绝？

当你在 HTML 里写 或内联事件如 ，浏览器会把它视为“内联脚本”。默认情况下，CSP 策略若未显式允许（比如没加 'unsafe-inline'），就会直接拦截执行，控制台报错类似：

Refused to execute inline script because it violates the following Content Security Policy directive: "script-src 'self'".

这个错误不是“没配好”，而是 CSP 在严格执行——它不信任任何未声明来源的脚本代码。

nonce 是怎么让内联脚本“变合法”的？

服务端在生成 HTML 响应时，为每个请求动态生成一个一次性随机字符串（比如 27f434278e6b79578d5c9f0a321c4567），通过 HTTP 响应头或 注入到 CSP 策略中，并同步写进

nonce 值不能硬编码，也不能复用——每次 HTTP 响应都要新生成，否则失去防 XSS 意义

注意大小写敏感，且中间不能有空格或换行

常见踩坑点：nonce 不生效的几个典型原因

即使写了 nonce，脚本仍被拦截，大概率是以下某一项出问题：

• CSP 响应头里的 'nonce-xxx' 和 2.在》的详细内容，更多关于HTML常见属性及用途的资料请关注golang学习网公众号！