nonce は HTML5.1 で追加された属性で、コンテンツセキュリティポリシー(CPS: Content Security Policy) に従い、Web ページ上に悪意を持って埋め込まれたスクリプトの実行を抑制するために用いられます。HTML Living Standard ではグローバル属性として定義されています。
例えば、HTTP のレスポンスに下記の様な HTTP ヘッダが付与されていたとします。
Content-Security-Policy: script-src 'nonce-hUygTfgbgFcdRt5eDqpLfB6f==' 'strict-dynamic'
この場合、下記の HTML コードがある場合、正規のスクリプトは実行されますが、正当な nonce 値を持たない悪意のあるスクリプトは実行されません。
<article> ~悪意のある書き込み~ <script>悪意のあるスクリプト</script> ~悪意のある書き込み~ </article> <script nonce="hUygTfgbgFcdRt5eDqpLfB6f==">正規のスクリプト</script>