将随机数添加到样式内联

Question

<div .... style="background-color: #fff" ..... </div>

如何向此样式添加随机数（CSP）？正如您所看到的，它不在样式标签之间。

Answer 1

只有样式和脚本是 CSP 2 级中的 nonceable 元素，https://www.w3.org/TR/CSP2/#script-src-the-nonce-attribute。您也许可以在 CSP 级别 3 中执行此操作，但除非您只能针对支持它的特定浏览器，否则您应该将样式移动到带有随机数或 css 文件的样式标记。

编辑 2024-02-01：在 CSP 级别 3（现在具有良好的浏览器支持）中，除了属性代码的哈希之外，您还可以使用“不安全哈希”来允许属性样式/脚本。除非您只有一些需要哈希值的静态内容属性，否则您仍然应该尝试移动它。