内容安全策略阻止谷歌优化 javascript 注入

Question

为了实现 Google Optimize，我们创建了 2 个标签和 1 个变量：Google Optimize 标签、UA – GA- AllPages 标签和一个 UA- GoogleAnalytics 变量。 我们想通过更改文本在 Google Optimize 上执行简单的第一个 AB 测试。 但是，出现以下错误消息：

Refused to evaluate a string as JavaScript because 'unsafe-eval' is not an allowed source of script in the following Content Security Policy directive: "default-src 'unsafe-inline' 'nonce-' 'self' blob: data: wss: https://*".

对于解决方案，我看到了谷歌开发者之一（ https://developers.google.com/tag-platform/tag-manager/web/csp ）和我们客户发送的一个（ https://content-security- policy.com/nonce/ ）。 此外，我们在 stackoverflow 上也看到了其他类似的问题（ 如何使 Google Tag Manager 和 Content-Security-Policy 共存？ ）

问题是我们的客户说 CSP 已经实现，在 GTM 实现的代码片段中有一个 nonce 代码。 我们被告知，实现的 nonce 代码应该作为变量暴露给 GTM，以将其添加到 Google Optimize 标签中。但我们的 Google Optimize 标签不是自定义 HTML。 我了解该解决方案仅适用于自定义 HTML。

此外，我们已经看到该应用程序是在 react 中制作的，并且 react 的 GTM 配置不同，所以我不知道这是否会对 nonce 代码的实现方式产生影响。 我正在阅读（），在反应应用程序中我们不能使用随机数，而是 hash（ CSP 随机数实现是什么样的？ ）。 会不会是这个问题？

我们知道他们必须包含 GO 指令：

script-src: https://www.google-analytics.com

但也适用于 GA

script-src: https://www.google-analytics.com https://ssl.google-analytics.com
img-src: https://www.google-analytics.com
connect-src: https://www.google-analytics.com 

而且，对于 GTM

script-src: https://tagmanager.google.com
style-src: https://tagmanager.google.com https://fonts.googleapis.com
img-src: https://ssl.gstatic.com https://www.gstatic.com
font-src: https://fonts.gstatic.com data:

我的问题是，GTM 有办法解决这个问题吗？ 或者这只是一个必须从 CSP 和 GTM 和 Nonce 代码实现中解决的问题？