CSP Nonce
Ein CSP-Nonce ist ein pro Anfrage erzeugter Zufallswert, der an Script-/Style-Tags und den CSP-Header angehängt wird; nur Inline-Skripte mit passendem Nonce sind erlaubt.
Zweck
Vertrauenswürdige Inline-Skripte sicher erlauben, ohne das CSP zu unsafe-inline aufzuweichen; der empfohlene moderne CSP-Ansatz.
Mechanismus
Der Server erzeugt pro Anfrage einen zufälligen Nonce; der CSP-Header enthält script-src 'nonce-abc123', und das <script nonce=abc123> der Seite darf ausgeführt werden. Angreifer können den Nonce nicht vorhersagen, weshalb injizierte Skripte blockiert bleiben.
Anwendungsfälle
- Sichere Inline-Skript-Freigabe
- CSP-Härtung
- XSS-Abwehr