CSP nonce
Una cadena aleatoria por-request que permite scripts inline específicos bajo CSP sin necesidad de 'unsafe-inline'. Pon el nonce en el header CSP + el mismo atributo nonce en la etiqueta <script>.
Flujo: servidor genera un nonce fresco por request → embebido en el header (Content-Security-Policy: script-src 'nonce-xyz123' 'self') + en HTML (<script nonce="xyz123">...</script>). Solo scripts con el nonce correcto ejecutan; otros bloqueados. Es más seguro que 'unsafe-inline' porque el atacante no puede simplemente inyectar <script>.
Alternativa más moderna: subresource integrity (SRI) para scripts externos. Caída: cada request necesita un nonce nuevo, así que no cachea bien. Pero es el estándar de facto para applications web modernas que usan inline scripts críticos. Angular, React y Vue todos lo soportan.