웹 보안에서 Content-Security-Policy(CSP)의 script-src 'nonce-xxx' 방식의 동작은?
어려움 MDN Web Docs해설
서버가 매 요청마다 고유한 nonce를 생성하여 CSP 헤더(script-src 'nonce-abc123')와 <script nonce="abc123">에 동일한 값을 설정합니다. nonce가 일치하는 스크립트만 실행되므로, 공격자가 주입한 스크립트는 nonce를 모르기 때문에 실행되지 않아 XSS를 효과적으로 방어합니다.
