意味

[25] nonce 属性は、 CSP でスクリプトを実行するかどうか決定するために使う暗号学的 (cryptographic) nonce (number used once) を指定するものです >>24。

属性値

[26] 属性値は、テキストです >>24。

文脈

[36] nonce 属性は、 script 要素と link 要素で指定できます。

[23] script 要素の種別がデータブロックの時は、 nonce 属性を使ってはなりません >>22。

[31] スクリプトfetchオプション群は、暗号学的nonce (cryptographic nonce) を持ちます >>32。 これはスクリプトのfetchで使われます。

処理

[27] script 参照。

[28] なお、初回処理時の値が使われるので、動的に変更しても、意味を持ちません >>24。

HTMLScriptElement インターフェイス, HTMLLinkElement インターフェイス nonce 属性

[29] HTMLScriptElement インターフェイス, HTMLLinkElement インターフェイスの nonce IDL属性は、 nonce 内容属性を反映しなければなりません >>22。これは文字列として反映するものです。

歴史

[5] Bug 26081 – Consider defining or mentioning the nonce attribute ( (2014-06-14 02:59:38 +09:00 版)) https://www.w3.org/Bugs/Public/show_bug.cgi?id=26081

[2] Merge pull request #171 from fmarier/csp2-remove-base64url · b4ab556 · w3c/webappsec (2015-02-11 16:36:15 +09:00 版) https://github.com/w3c/webappsec/commit/b4ab55679f2261b05db896bd9399f25bc1314787

[7] Call out to CSP's inline element hooks · whatwg/html@ee3486e (2015-11-08 16:32:08 +09:00 版) https://github.com/whatwg/html/commit/ee3486eb129bc350b5ca684d0c91dff23453ac1a

[8] Define script@nonce and style@nonce attributes · whatwg/html@882803c (2015-11-12 00:04:23 +09:00 版) https://github.com/whatwg/html/commit/882803c4cc8fba2fa5472b76f628d95cc82c421d

[9] Accept base64url characters in nonces and hashes. · w3c/webappsec-csp@b4c5543 (2015-11-20 18:45:10 +09:00 版) https://github.com/w3c/webappsec-csp/commit/b4c5543c350417eb24f1f33247defe20e3430643

意味

[10] nonce は、 401 応答の作成の度に毎回固有に生成するべき、 サーバーが指定する文字列です。 >>3

[14] nonce はクライアントにとっては不透明です >>3。

構文

[17] auth-param の引用文字列構文を使わなければなりません >>3。

[11] nonce は、 Base64 や十六進数で表記した文字列とするといいです (advise) 。 >>3

[12] 具体的な内容は、実装依存です >>3。

文脈

[15] nonce 引数は、ダイジェスト認証の challenge に指定できます >>3。

[20] nonce 引数は必須です。

処理

[13] 実装は、replay攻撃を防ぐため、前に使われた nonce の再利用を認めないこととできます。 >>3

[16] response 引数の値の計算に使われます。

歴史