security - PayPal 智能按钮内联脚本的 Nonce

Question

我使用 PHP 为我的 PayPal Smart Button 内联脚本创建了一个 nonce，以符合 CSP。但我遇到的问题是它是暴露的，可以在 Chrome 的开发人员工具中看到。在 PayPal 网站上，它说要使用data-csp-nonce属性，这似乎是问题所在，因为即使 CSP 没有抱怨脚本，它也会暴露出来。 https://developer.paypal.com/docs/checkout/troubleshoot/support/

如果我只使用nonce属性，则不会公开随机数（这是预期的行为），但我在控制台中收到错误消息，指出内联脚本不符合 CSP。我在这里有什么遗漏吗？

标签： securitypaypalnonce

Answer 1

这是正常的，旨在让随机数显示在页面和标题中。下一页加载将有一个新的随机数，所以知道旧的随机数是没有用的。