WP的nonce不是真正的nonce，因为它们的有效期约为24小时。因此，如果在wp_create_nonce( $action ) 然后，WP将始终在24小时内生成相同的nonce。

实际上，您不会使用wp_head 行动这发生在HTML输出的头部。要发送内容安全策略标头，或修改现有标头，您需要挂接到wp_headers 改为过滤。

至于生成nonce，您不想使用基于WordPress的nonce，因为它们在每页加载时都不是唯一的。您希望每个加载都生成一个随机数。

至于在wp_headers 以及script_loader_tag, 嗯，你只是，你知道，在两个地方使用相同的数字。在插件代码主体中生成数字，将其放入全局变量中，然后从连接到这些过滤器的两个函数中引用该变量。