哪些HTML元素属于支持CSP的nonceable元素？求完整列表

有没有nonceable元素的完整公开列表 #

所有可被CSP nonce机制识别的元素，其适用范围完全由HTML标准、CSP规范联合定义，不存在脱离规范的零散整理清单。目前经过全现代浏览器一致验证的nonceable元素包括两类：

• 被HTML规范明确标注支持nonce全局属性的元素：
  • <script>：是CSP script-src指令的核心匹配对象，也是nonce机制最早的设计目标
  • <style>：对应CSP style-src指令的匹配范围
• 文档未明确标注nonce属性、但实际可被CSP正常识别的元素：
  • <link>：这类元素的nonce属性校验逻辑在CSP规范落地早期就已经实现，只是当时HTML规范尚未把nonce纳入link元素的属性列表，MDN相关文档的更新存在滞后。目前该元素的nonce支持已经被写入最新HTML标准，只要携带的nonce值和CSP策略中约定的一致，对应通过link标签加载的外部样式表、预加载资源就可以获得豁免，不会被CSP拦截。除了<link>之外，没有其他同类的、未被文档标注但实际支持nonce校验的通用HTML元素。

为什么<img>和<iframe>不属于nonceable元素 #

两类元素不支持nonce豁免完全是规范设计层面的选择，不是浏览器实现的遗漏：

1. 从nonce机制的设计初衷看，这套机制的核心解决场景是防止页面内注入的恶意内联脚本、内联样式执行，从设计之初就没有打算为通过src属性加载的远程外部资源提供nonce校验通道。毕竟外部资源有明确的网络地址，完全可以通过源白名单、资源hash的方式做合法性校验，没必要额外引入一次性随机的nonce值增加校验复杂度。
2. 从CSP指令的匹配逻辑看：<img>对应img-src指令、<iframe>对应frame-src指令，从CSP第一版规范到最新的CSP 3版本，这两条指令的允许匹配规则里，从来没有把nonce值纳入可识别的校验范围。哪怕给这两类标签硬写上正确的nonce属性，浏览器的CSP检查模块也不会读取这个属性的值，更不会因此放开对资源加载地址的校验。

注意：实际开发中不要想当然地给所有HTML元素加nonce属性就期待获得CSP豁免，只有被规范定义为nonceable的元素，携带的nonce值才会被CSP校验逻辑读取。

内容的提问来源于stack exchange，提问作者Streamfighter