CSP中nonce使用指南：能否复用nonce及Node.js生成函数推荐

1. 同一个Nonce可以用于多个内联脚本吗？ #

当然可以！这是完全符合CSP规则的操作。

CSP里的nonce本质是一个请求级别的验证令牌——只要你的HTTP响应头里的script-src包含'nonce-2726c7f26c'，那么所有带有nonce="2726c7f26c"属性的内联脚本都会被浏览器视为合法并允许执行。你给出的示例配置是完全有效的：

HTTP层：Content-Security-Policy: script-src 'nonce-2726c7f26c'
HTML中的内联Javascript：

<script nonce="2726c7f26c"> var inline = 1; </script>
<script nonce="2726c7f26c"> var inline2 = 2; </script>

这里需要注意的关键点是：nonce必须是一次性的——每个HTTP请求都应该生成全新的nonce，而不是跨请求复用同一个值。同一个请求内的多个内联脚本共用同一个nonce是完全没问题的，这不会影响安全性。

2. Node.js中生成安全Nonce的推荐函数 #

直接用Node.js内置的crypto模块就足够安全了，不需要额外安装第三方包。crypto提供的随机生成器是加密安全的，比Math.random可靠得多。

这里有一个简单实用的生成函数：

const crypto = require('crypto');

function generateSecureNonce() {
  // 生成16字节的加密安全随机数据，转换为base64格式
  // 16字节的长度已经足够抵御暴力破解，base64格式也方便在HTTP头和HTML中传输
  return crypto.randomBytes(16).toString('base64');
}

使用时，你需要在每个请求处理流程中调用这个函数生成新的nonce：

1. 生成nonce值
2. 将'nonce-' + nonce添加到Content-Security-Policy响应头的script-src指令中
3. 在HTML的内联脚本标签中添加nonce="${nonce}"属性

这样就能保证每个请求的nonce都是唯一且安全的。

内容的提问来源于stack exchange，提问作者Aónio