node.js - 如何在 CSP 中使用 nonce

Question

我一直在阅读有关将内联脚本与随机数(仅使用一次的数字)结合使用的 CSP 文档，但我仍然没有完全理解。

• 我可以对不同的内联脚本使用相同的随机数吗？也就是说，我可以这样做吗？

HTTP层:

Content-Security-Policy: script-src 'nonce-2726c7f26c'

HTML 中的 Javascript 内联

<script nonce="2726c7f26c">
  var inline = 1;
</script>
<script nonce="2726c7f26c">
  var inline2 = 2;
</script>

• 你能给我推荐任何 node.js 函数来生成这样的 nonces 吗？我应该使用 require('crypto') 吗？

Answer 1

我的解决方案是正确的

我们为每个 HTTP 请求创建一个 nonce，我们不应该为每个脚本创建一个。所以，我最初的解决方案是正确的。 CSP 规则进入 HTTP 层，因此每个 HTTP 请求一个随机数。