如何在WordPress中使用Nonce实现CSP以允许内联JS脚本

Hey there! Let's work through your CSP and Nonce setup for your WordPress site, since hashes aren't practical with frequently changing inline JS.

一、WordPress下Nonce实现的简便方式 #

方法1：使用专用插件 #

如果不想手动写代码，推荐用专门的CSP插件，比如 WP Content Security Policy 这类工具——它们会自动帮你生成动态Nonce，处理CSP头的输出，还能适配WordPress的内联脚本（比如主题/插件的内联代码），减少手动配置的麻烦。

方法2：手动代码实现（更灵活） #

如果你偏好自定义，可通过WordPress的钩子动态生成Nonce并配置CSP：

1. 在主题的functions.php中添加以下代码：

function add_csp_with_nonce() {
    // 生成加密安全的随机Nonce（base64编码，符合CSP要求）
    $nonce = base64_encode(random_bytes(16));
    
    // 存储Nonce到全局变量，方便在模板中调用
    global $csp_nonce;
    $csp_nonce = $nonce;
    
    // 构建CSP头内容
    $csp_header = sprintf(
        "default-src 'self'; script-src 'self' https://milyin.com https://cdnjs.cloudflare.com https://cdn.tiny.cloud https: 'nonce-%s'; object-src 'none'; base-uri 'none'; img-src https: data:; style-src 'self' 'unsafe-inline' https://fonts.googleapis.com https://www.google.com https:; report-uri https://milyin.com/?csp=true",
        esc_attr($nonce)
    );
    
    // 添加CSP响应头
    header("Content-Security-Policy: $csp_header");
}
// 在发送响应头前执行
add_action('send_headers', 'add_csp_with_nonce');

2. 所有内联脚本标签都需要添加nonce属性：

<script nonce="<?php global $csp_nonce; echo esc_attr($csp_nonce); ?>">
    // 你的内联JS代码
</script>

注意：如果主题/插件自带内联脚本，可能需要修改对应的模板文件，或者用钩子过滤脚本输出添加nonce属性。

二、你的Nonce相关疑问解答 #

1. Nonce是什么？你的认知正确吗？ #

不完全准确。Nonce是一次性使用的加密安全随机字符串（不是普通整数），核心特性是：

• 加密安全：要用密码学安全的随机生成器（比如PHP的random_bytes()）生成，避免被猜测；
• 一次性：每个HTTP请求对应一个全新的Nonce，不能重复使用。
  它的作用是让CSP识别“当前请求中哪些内联脚本是合法的”，替代哈希方案适配频繁修改的内联代码。

2. 是否可以为所有脚本使用同一个Nonce？ #

同一个请求内的所有合法脚本可以共用同一个Nonce，但这个Nonce必须是当前请求独有的——绝对不能用固定值（比如你说的69）。举个例子：用户刷新页面时生成新的Nonce，当前页面的所有内联脚本、加载的外部脚本（如果需要）都用这个Nonce，这是可行的。但固定Nonce会直接破坏CSP的防护能力。

3. 是否需要频繁更换Nonce？固定Nonce的风险及防范？ #

必须每次HTTP请求都更换Nonce！

• 固定Nonce的风险：攻击者一旦获取到这个固定值，就能注入带有相同Nonce的恶意脚本，直接绕过CSP的防护，等于白配置了。
• 防范方法：
  • 用加密安全的随机函数生成Nonce（避免可预测）；
  • 每个请求生成全新的Nonce，不重复使用；
  • 确保Nonce只在当前请求的上下文有效，不要存储在Cookie或本地存储中被复用。

内容的提问来源于stack exchange，提问作者Aditya Agarwal