加载带CSP页面出现间歇性错误，配置nonce仍触发inline脚本拦截问题

1. Nonce值包含非法字符 #

CSP规范明确要求，nonce-*的值必须是base64编码的ASCII字符，仅允许包含A-Z、a-z、0-9、+、/和末尾补位的=，不允许出现@等特殊字符。你当前的nonce值YVV3G@Kk3ex7GMz53NWHlwAAADs里包含@字符，不符合规范，所以Chrome会直接将该nonce判定为无效源并忽略，导致内联脚本执行被拦截。

提示：Apache的UNIQUE_ID变量生成的值默认可能包含@等特殊字符，不符合CSP nonce的要求，需要自行替换非法字符或者更换nonce生成逻辑。

2. Apache CSP响应头配置逻辑错误 #

你多次使用Header set Content-Security-Policy指令属于严重错误：

• Header set 默认会覆盖已存在的同名响应头，而不是追加指令。你前面设置的script-src等指令会被后面的Header always set Content-Security-Policy指令直接覆盖，导致实际返回的CSP头不完整、指令缺失。
• 如果多次调用Header set/always set Content-Security-Policy，最终响应会返回多个不同的CSP响应头，浏览器需要同时满足所有CSP头的规则才会放行资源，你后面设置的CSP头没有带script-src的nonce规则，所以会拦截内联脚本，这也是报错间歇性出现的核心原因（不同请求返回的CSP头数量、规则可能存在波动）。
• 你在多个不需要nonce的指令（比如img-src、media-src、font-src、frame-src等）里都加了nonce-%{UNIQUE_ID}e，nonce仅用于script-src和style-src控制内联资源，其他指令加nonce属于无效配置，没有实际意义。
• 你最后设置的Header always set Content-Security-Policy "form-action 'self'; "直接覆盖了前面配置的带nonce的form-action规则，也会导致相关逻辑异常。

3. 修复方案 #

3.1 替换合法的nonce生成逻辑 #

不要直接使用Apache的UNIQUE_ID作为nonce，你可以在应用层（PHP代码里）生成符合base64规范的随机nonce，长度至少128位（16字节），示例PHP代码：

$nonce = base64_encode(random_bytes(16));
$_SERVER['CSP_NONCE'] = $nonce; // 可传递给Apache做响应头变量替换

3.2 修正Apache CSP配置 #

所有CSP指令要合并到同一个Header set指令里，不要拆分多次设置，参考配置：

<IfModule mod_headers.c>
# 所有CSP指令合并到一条，注意替换占位符为你自己的实际配置
Header set Content-Security-Policy "report-to '...'; report-uri '...'; default-src 'self'; base-uri 'self'; object-src 'self'; connect-src 'self'; worker-src 'self'; child-src 'self'; frame-src 'self'; form-action 'self'; manifest-src 'self'; media-src 'self'; style-src 'self' 'nonce-%{CSP_NONCE}e' 'report-sample'; img-src 'self' 'report-sample'; font-src 'self' 'report-sample'; script-src 'self' 'nonce-%{CSP_NONCE}e' 'report-sample'; upgrade-insecure-requests; frame-ancestors 'self';"

# 其余安全头保留即可
Header set Referrer-Policy "no-referrer"
Header set Strict-Transport-Security "max-age=31536000; includeSubDomains"
Header edit Set-Cookie ^(.*)$ "$1;Secure;SameSite=Strict"
Header set X-Content-Type-Options nosniff
Header set X-XSS-Protection "0"
</IfModule>

3.3 页面脚本标签同步 #

渲染页面时直接用你自己生成的合法nonce值即可：

<script type="text/javascript" nonce="<?php echo $nonce; ?>">

内容的提问来源于stack exchange，提问作者user13769283