ie完全不支持nonce属性，会直接忽略；现代浏览器使用时需确保nonce值与csp头完全一致、不复用、仅对内联脚本生效，且须验证是否生效。
nonce属性在IE中根本不会被解析
IE（包括IE11）完全不支持 nonce 属性，它会被浏览器直接忽略——既不会触发脚本解析错误，也不会起任何CSP作用。这不是“兼容性差”的问题，而是标准支持的彻底缺失。
常见错误现象是：开发者在 <script nonce="abc"></script> 中写了 nonce，本地 Chrome 正常，但 IE 里脚本照常执行（看似没问题），结果上线后因 CSP 策略收紧，IE 用户反而因其他未加 nonce 的内联脚本被拦截而功能异常——误以为是 nonce 导致报错，实际是 CSP fallback 行为暴露了问题。
使用场景下必须做运行时降级处理
如果你的站点仍需支持 IE，并启用了 CSP 的 script-src 'nonce-xxx'，那么所有依赖 nonce 的内联脚本在 IE 中都会被 CSP 拦截（因为 IE 不识别 nonce，等价于没匹配到白名单）。
可行做法是：
- 服务端根据 User-Agent 判断是否为 IE，对 IE 响应不带
nonce的 CSP 头（如降级为script-src 'unsafe-inline'或基于hash） - 或前端用
document.createElement('script')动态插入脚本，并在 IE 中绕过 nonce 校验逻辑（例如只对支持crypto.subtle的浏览器才生成/校验 nonce） - 避免在 IE 环境下依赖
nonce控制关键初始化逻辑，改用外部 script + defer
Chrome/Firefox/Safari 中 nonce 的典型误用
即便现代浏览器支持 nonce，也极易因细节出错导致脚本静默失效：
-
nonce值必须与 CSP 响应头中的值**完全一致**（区分大小写、无空格、无 BOM） - 不能复用同一个
nonce值多次——每次页面加载都应生成新值 -
<script nonce="abc">alert(1)</script>有效，但<script nonce="abc" src="x.js"></script>中的nonce会被忽略（仅对内联脚本生效） - 若通过
innerHTML注入带nonce的 script 标签，该脚本仍会被 CSP 拦截（DOM 插入的内联脚本不继承 nonce）
验证 nonce 是否生效的最快方式
打开 DevTools → Security 面板（Chrome），查看 “Content Security Policy” 条目，确认当前页的 script-src 规则中是否包含 nonce- 前缀条目；再看 Console 是否有 Refused to execute inline script because it violates the following Content Security Policy directive 类错误。
更直接的方式是临时把 nonce 值改错一位，刷新页面——如果脚本没执行且出现上述错误，说明 nonce 已被识别并生效；如果脚本照常执行，要么浏览器不支持（如 IE），要么 CSP 头没下发，要么 script 标签写法不符合内联定义（比如带 src）。
真正容易被忽略的是：CSP 的 nonce 机制只约束“内联脚本”，对事件处理器（onclick）、javascript: 伪协议、eval 等依然无效，这些地方仍需单独处理。
