带CSP头的结构化数据脚本使用：为何触发style-src违规？

首先明确：你的结构化数据写法是对的，这个样式违规和带nonce的结构化数据脚本无关。Chrome的报错指向的是页面中其他元素的内联style属性（比如<div style="color: red">这种写法），而非你添加的结构化数据脚本。

为什么会触发这个报错？因为CSP里的nonce规则只适用于独立的<script>和<style>标签，对元素的style属性、事件处理程序（比如onclick）这类内联代码完全不生效。你的CSP配置了style-src-attr 'self' 'report-sample' 'nonce-NONCE_VALUE'，但nonce在这里没用，所以浏览器会要求你提供哈希或'unsafe-inline'。

正确处理方式 #

• 优先推荐：移除内联style属性
  把所有元素的内联style（比如style="margin: 0"）迁移到外部样式表，或者放到带合法nonce的<style>标签里，这样完全符合高安全标准的CSP要求，也不用加任何哈希或unsafe关键字。

• 如果必须保留内联style属性
  要么在style-src-attr中添加'unsafe-inline'（但会降低CSP的安全性，不建议）；要么添加'unsafe-hashes'并配合对应style属性的哈希（但你不想加哈希的话，这条可以忽略）。

确认结构化数据的正确性 #

你当前的结构化数据写法完全合规：

<script type="application/ld+json" nonce="NONCE_VALUE">
{"@context":"https://schema.org","@type": "Organization",[etc...]}
</script>

只要你的CSP中script-src包含'nonce-NONCE_VALUE'，这个脚本就会被正常执行，不会触发任何违规。

内容的提问来源于stack exchange，提问作者JCV