Safari似乎不支持用于预加载JS的链接标记上的CSP nonce

我正在Mac上使用Safari 14.0.3，并呈现以下链接标记：

我的CSP标题包括以下内容：

script-src 'strict-dynamic' 'unsafe-eval' 'nonce-Hkb65_tcgqVrk2Zk';

正如您所看到的，正确的nonce应用于link标记。这在Chrome和FF中正常工作，但Safari会抛出错误：

[错误][仅报告]拒绝加载，因为它未出现在内容安全策略的script src指令中

---

我在网上找不到任何关于Safari在

link

标签上不支持nonce的信息。希望有人能告诉我如何解决这个问题，或者告诉我一些资源，至少可以确认这是不可能的。

是的，Safari不支持

的nonce-value，因为
向CSP
脚本src
指令添加
'self'
可以让它在Safari上工作，但我宁愿避免这种情况。有趣！我假设Firefox预加载资产实际上并不存在安全风险，因为这些资产不会被执行。这听起来对你合适吗？是的，预加载的脚本不会被执行，样式也不会被应用。因此Firefox的行为看起来是安全的。但我不知道是故意行为还是Firefox只是不支持