为Laravel官方包（Telescope等）配置Nonce适配严格CSP

1. 补全CSP头部的样式规则 #

你当前的CSP仅配置了script-src的nonce，但错误提示是内联样式被拦截，必须在CSP头部中为style-src也添加nonce：

$nonce = base64_encode(random_bytes(16));
View::share('cspNonce', $nonce);

$csp = "default-src 'self';
script-src 'self' 'nonce-$nonce';
style-src 'self' 'nonce-$nonce';
object-src 'none';
base-uri 'self';";

// 将CSP头部注入响应
$response->headers->set('Content-Security-Policy', $csp);

注意：添加nonce后，'unsafe-inline'会被CSP自动忽略，不要在style-src或script-src中同时配置这两个值。

2. 为所有内联样式标签添加Nonce #

你已将Telescope视图复制到资源目录，现在需要遍历这些视图中的所有内联<style>标签，添加nonce属性：
比如修改resources/views/vendor/telescope/layouts/app.blade.php中的样式标签：

<style nonce="{{ $cspNonce }}">
    /* 原内联样式内容 */
</style>

对Horizon视图（复制到resources/views/vendor/horizon）执行同样操作，检查所有内联<style>并补全nonce。

3. 处理元素的内联style属性（可选） #

如果页面存在<div style="margin-top:10px">这类元素级内联样式，这类内容不属于<style>标签范畴，默认会被严格CSP拦截。若无法将样式迁移到外部CSS文件，可在style-src中添加对应样式的哈希值：

// 示例：允许特定内联样式的哈希值
$csp = "default-src 'self';
script-src 'self' 'nonce-$nonce';
style-src 'self' 'nonce-$nonce' 'sha256-xxxxxx';";

4. 验证Nonce一致性 #

• 确认中间件生成的$nonce与视图中使用的$cspNonce完全一致，排查是否有其他代码修改了该变量
• 打开浏览器开发者工具的Security面板，查看当前页面的CSP头部，核对nonce值与页面中<script>、<style>标签的nonce属性完全匹配

5. 定位具体拦截项 #

在浏览器开发者工具的Console中，CSP错误会显示被拦截的具体内联样式内容，根据该内容定位到对应视图文件，针对性添加nonce或迁移样式。

内容的提问来源于stack exchange，提问作者Sheva Athalla