CSP Nonce
CSP nonce はリクエストごとに生成される乱数値で、script/style タグと CSP ヘッダーの両方に付き、一致する nonce を持つインラインスクリプトだけを許可する。
目的
CSP を unsafe-inline まで緩めずに、信頼できるインラインスクリプトを安全に許可する。現代の推奨される CSP 方式である。
メカニズム
サーバーはリクエストごとにランダムな nonce を生成し、CSP ヘッダーに script-src 'nonce-abc123' を含める。ページ内の <script nonce=abc123> だけが実行を許可される。攻撃者は nonce を予測できないため、注入されたスクリプトはブロックされる。
ユースケース
- 安全なインラインスクリプトの許可
- CSP の強化
- XSS への防御