Apache配置CSP nonce时触发仅允许base64字符集报错如何解决

你触发报错的核心原因是CSP配置与页面script标签的nonce值不匹配，且未编码的UNIQUE_ID不符合base64字符集要求：

• Apache的.htaccess配置中，你通过%{base64:%{reqenv:UNIQUE_ID}}对原始UNIQUE_ID做了base64编码，CSP校验时会以该编码后的值作为合法nonce的判断标准
• 页面的script标签中，你直接输出了原始的$_SERVER['UNIQUE_ID']，没有做对应的base64编码，首先两端值无法匹配导致CSP校验不通过，其次原始UNIQUE_ID可能包含base64字符集以外的特殊字符，直接触发扫描工具的字符合规性报错

任选以下一种方案即可，核心原则是保持Apache CSP配置中的nonce生成规则和页面输出的nonce值完全一致：

方案一：仅修改页面代码（无需调整Apache配置） #

将页面中script标签的nonce属性值改为base64编码后的UNIQUE_ID，代码示例：

<script type="text/javascript" nonce="<?= base64_encode($_SERVER['UNIQUE_ID']) ?>">
// 你的JS代码
</script>

方案二：仅修改Apache配置（无需调整页面代码） #

去掉.htaccess配置中对UNIQUE_ID的base64编码步骤，直接使用原始值生成CSP nonce，配置修改为：

default-src 'self' 'nonce-%{reqenv:UNIQUE_ID}';

注意：该方案需要确认你的Apache环境生成的UNIQUE_ID本身符合base64字符集要求，若存在-、_等base64url专属字符，建议先做字符替换或者优先选择方案一。

• nonce必须每次请求重新生成，禁止复用固定值，否则会失去XSS防护效果
• 所有带内联代码的script、style标签都必须添加对应nonce属性，否则会被CSP拦截

内容的提问来源于stack exchange，提问作者user13769283