CSP Nonce
CSP nonce 是每请求生成的随机数，附加到 script/style 标签与 CSP 头，仅允许含匹配 nonce 的内联脚本。
用途
安全放行可信内联脚本而不放宽 CSP 至 unsafe-inline，是现代 CSP 推荐方式。
机制
服务端每请求生成随机 nonce，CSP 头含 script-src 「nonce-abc123」，页面中 <script nonce=abc123> 被允许执行。攻击者无法预测 nonce 故注入脚本被阻断。
用例
- 内联脚本安全放行
- CSP 加固
- XSS 防御