在.htaccess的Content-Security-Policy中结合PHP使用动态Nonce失败的问题排查

看起来你遇到的核心问题是Apache环境变量和PHP执行时机不匹配，导致CSP头里的nonce和页面实际使用的nonce完全不一致，浏览器自然会拒绝你的内联样式/脚本。我来一步步拆解问题和解决方法：

先说说你当前配置里的两个致命问题 #

1. .htaccess里的环境变量设置完全错误
   你写的SetEnv MY_CSP_NONCE "<?php echo $_SERVER['MY_CSP_NONCE']; ?>"根本不会生效——.htaccess是Apache的配置文件，它不解析PHP代码！这行相当于把字符串<?php echo $_SERVER['MY_CSP_NONCE']; ?>直接设为环境变量的值，而不是你PHP生成的真实nonce。这就导致CSP头里的'nonce-%{ENV:MY_CSP_NONCE}'变成了'nonce-<?php echo $_SERVER['MY_CSP_NONCE']; ?>'，和页面里的真实nonce完全对不上。

2. CSP指令语法错误
   你在style-src里嵌套了style-src-attr，这是不符合CSP规范的。style-src-attr是独立的指令，需要单独声明，不能放在style-src内部。

正确的解决方案：直接在PHP中生成并发送CSP头 #

因为Apache的配置指令（比如SetEnv、Header）是在PHP脚本执行之前运行的，所以你没办法通过.htaccess获取PHP生成的动态nonce。正确的做法是把CSP头的生成逻辑完全移到PHP里：

步骤1：修改cookiesetter.php，生成nonce并发送CSP头

<?php
// 用session存储nonce，确保同一会话内的所有页面使用同一个nonce（可选但推荐）
session_start();

// 生成符合规范的nonce
$nonce = rtrim(strtr(base64_encode(random_bytes(64)), '+/', '-_'), '=');
$_SESSION['MY_CSP_NONCE'] = $nonce;

// 构造正确的CSP规则，注意语法规范
$csp_policy = <<<CSP
default-src 'none';
script-src 'self' require-trusted-types-for 'script' https://www.googletagmanager.com https://www.facebook.com https://www.twitter.com https://www.instagram.com 'nonce-$nonce' 'strict-dynamic' 'wasm-eval' 'unsafe-eval';
script-src-elem 'self';
connect-src 'self';
img-src 'self' https://storage.googleapis.com data:;
video-src 'self' https://storage.googleapis.com data:;
style-src 'self' 'nonce-$nonce';
style-src-attr 'self' 'nonce-$nonce';
base-uri 'none';
object-src 'none';
frame-ancestors 'self';
frame-src 'self';
sandbox allow-same-origin allow-scripts allow-popups;
media-src 'self';
worker-src 'self https://*.cloudflare.com';
manifest-src 'self';
child-src 'self';
prefetch-src 'self' https://storage.googleapis.com https://www.googletagmanager.com;
form-action 'self' https://www.paystack.com;
font-src 'self' data:;
upgrade-insecure-requests
CSP;

// 发送CSP头
header("Content-Security-Policy: $csp_policy");

// 其他安全头（比如HSTS、X-Frame-Options等）可以继续留在.htaccess里，或者也移到这里统一管理
?>

步骤2：修改.htaccess，移除CSP相关的Header设置

把原来的Header always set Content-Security-Policy ...这一行完全删掉，避免和PHP发送的头冲突。其他的安全头、重写规则、缓存设置都可以保留。

步骤3：确保页面中的nonce引用正确

你的index.php里的写法是对的，继续保持即可：

<?php include "cookiesetter.php" ?>
<html>
<head>
<title>Example</title>
<style nonce="<?php echo $nonce ?>">
/* 内联样式内容 */
</style>
</head>
<body>
<script nonce="<?php echo $nonce ?>">
/* 内联脚本内容 */
</script>
</body>
</html>

为什么这个方法可行？ #

PHP脚本是在Apache处理完基础配置后执行的，此时生成的nonce是真实有效的，并且直接通过header()函数发送给浏览器，CSP头里的nonce和页面标签里的nonce完全一致，浏览器就能正常识别并允许内联代码执行了。

关于你尝试的mod_unique_id #

mod_unique_id是Apache生成的请求唯一ID，它的问题是每个请求都会变，如果你页面里有多个内联脚本/样式，或者用户刷新页面，nonce就会不匹配，而且需要额外配置模块，反而不如PHP生成灵活，所以不推荐用这个方案。

备注：内容来源于stack exchange，提问作者Shasha