nonce属性在未启用CSP时被浏览器完全忽略，脚本照常执行；仅当CSP头存在且script-src包含对应'nonce-xxx'时才生效，否则内联脚本仍被阻止。
nonce 属性在没有启用 CSP 时会被浏览器忽略
不会导致 <script> 不执行。浏览器只在存在有效 CSP 头（如 Content-Security-Policy）且策略中明确包含 script-src 'nonce-xxx' 时，才会检查 nonce 属性。如果没有 CSP 响应头，或 CSP 中未启用 nonce 源，nonce 属性纯粹是无意义的 HTML 属性，被完全忽略——脚本照常加载和执行。
常见错误现象：
– 页面加了 nonce="abc" 但没配 CSP，开发者误以为“已防护”，实际零防护；
– 开发环境没开 CSP，测试时脚本正常，上线后因 CSP 配置错误（比如 nonce 值不匹配）突然白屏，误归因为“开发时加了 nonce 就有问题”。
script 标签带 nonce 但 CSP 未配置 nonce 源时会怎样
脚本仍会执行，但前提是 CSP 允许该脚本的其他加载方式。例如：
- 若 CSP 是
script-src 'self'，而脚本是内联且无nonce，则被阻止；但若加了nonce="xxx"却没在策略里声明'nonce-xxx'，该内联脚本仍被阻止——不是因为“有 nonce”，而是因为“nonce 不被认可” - 若 CSP 是
script-src 'unsafe-inline'，无论有没有nonce，内联脚本都放行 - 外部脚本（
<script src="a.js"></script>）根本不受nonce影响，只看script-src是否允许该域名
Chrome/Firefox/Safari 对 nonce 的处理差异很小，但有个关键兼容点
所有现代浏览器对 nonce 的解析规则一致：值必须是 Base64 编码的随机字符串，且每次响应必须唯一（防重放）。但容易踩的坑是：
-
nonce值含空格、换行或非 Base64 字符（如nonce="abc def"）→ 浏览器静默忽略该 nonce，等效于没写 - 服务端缓存了带固定 nonce 的 HTML → 多个页面共用同一 nonce → 违反“一次性”原则，部分浏览器（如 Safari 16.4+）可能拒绝执行
- 使用
document.write()动态插入带 nonce 的 script → nonce 不生效，因为 CSP nonce 只对 parser-created 节点有效
CSP 未启用时加 nonce 的实际影响
零运行时影响，但有维护成本和误导风险：
- HTML 体积略微增大（几字节到几十字节），无性能可测影响
- 后续开启 CSP 时，如果忘了同步更新策略或服务端生成逻辑，会导致脚本被拦——问题根源是 CSP 配置滞后，而非 nonce 本身
- 团队成员看到满屏
nonce属性，可能误以为 CSP 已就位，跳过安全审查
真正要盯住的，是 Content-Security-Policy 响应头是否存在、是否包含对应 nonce 源、以及服务端生成的 nonce 是否每次都新鲜且正确编码。其他都是表象。
