Ruby on Rails CSP Nonce致jQuery replaceWith失效问题求助

1. 修正Rails CSP配置，加入Nonce支持 #

当前你的CSP script_src 未包含:nonce指令，这是启用Nonce后允许内联脚本执行的核心配置项。修改Rails的CSP配置：

policy.script_src  :self, :https, :nonce,
                   'https://cdn.jsdelivr.net',
                   'https://cdn.plaid.com',
                   :blob,
                   'http://cdn.datatables.net/1.13.1/js/jquery.dataTables.min.js',
                   'http://cdnjs.cloudflare.com/ajax/libs/moment.js/2.11.2/moment.min.js',
                   'http://cdn.datatables.net/plug-ins/1.10.12/sorting/datetime-moment.js'

添加:nonce后，Rails会为每个请求生成唯一Nonce值，只有携带该Nonce的脚本才会被允许执行。

2. 为所有内联脚本标签添加Nonce #

页面中的内联<script>块必须携带Nonce属性，关联Rails生成的Nonce值，比如你的PageRenderer代码块所在的脚本标签：

<script nonce="<%= content_security_policy_nonce %>">
var PageRenderer = class extends Renderer {
    static renderElement(currentElement, newElement) {
      if (document.body && newElement instanceof HTMLBodyElement) {
        document.body.replaceWith(newElement);
      } else {
        document.documentElement.appendChild(newElement);
      }
    }
</script>

所有后端渲染输出的内联脚本片段，都需要注入这个Nonce属性。

3. 处理替换元素中的内嵌脚本 #

如果newElement（替换后的body元素）内部包含<script>标签，这些脚本也必须携带当前请求的Nonce值。可在生成或插入newElement前做如下处理：

// 为新body内的所有脚本添加Nonce
const scriptsInNewBody = newElement.querySelectorAll('script');
const pageNonce = document.querySelector('script[nonce]').getAttribute('nonce');
scriptsInNewBody.forEach(script => {
  script.setAttribute('nonce', pageNonce);
});

否则这些内嵌脚本会被CSP拦截，导致页面功能异常，看起来像是replaceWith失效。

4. 改造内联事件处理器（若存在） #

CSP的Nonce规则不覆盖onclick、onload这类内联事件属性，需逐步将其改为事件绑定模式：

// 替换 <button onclick="doSomething()">
document.querySelector('button').addEventListener('click', doSomething);

若短期无法完成改造，可临时在CSP中添加'unsafe-hashes'并指定事件处理器的哈希值，但优先推荐改造为事件绑定模式。

5. 验证jQuery的Nonce兼容性 #

确保引入jQuery的<script>标签也携带Nonce属性（本地引入可通过Rails的:self+:nonce自动覆盖，CDN引入需手动添加）：

<script nonce="<%= content_security_policy_nonce %>" src="https://code.jquery.com/jquery-3.6.1.min.js"></script>

避免因jQuery未加载导致依赖它的功能失效。

内容的提问来源于stack exchange，提问作者SomeSchmo