fix(web): nonce topic structured data

Author: thonatos

apps/web/app/routes/topic.$tid.tsx

@@ -65,6 +65,7 @@ import { UserIdentityBadges } from "~/components/UserIdentityBadges";
 import { externalUrlLabel, githubProfileUrl, safeExternalUrl } from "~/lib/public-profile";
 import { getTopicActionPresentation } from "~/lib/topic-action-presentation";
 import type { TopicReplyDTO } from "~/lib/api-types";
+import { useCspNonce } from "~/lib/csp-nonce";
 import {
   Empty,
   EmptyContent,
@@ -201,10 +202,12 @@ export default function TopicDetail({ loaderData }: Route.ComponentProps) {
   const headings = extractMarkdownHeadings(topic.content || "").slice(0, 12);
   const toc = headings.length >= 4 ? <TopicToc headings={headings} /> : null;
   const jsonLd = discussionForumPostingJsonLd(topic);
+  const nonce = useCspNonce();
 
   return (
     <Layout>
       <script
+        nonce={nonce}
         type="application/ld+json"
         dangerouslySetInnerHTML={{ __html: JSON.stringify(jsonLd).replace(/</g, "\\u003c") }}
       />

apps/web/tests/SecurityHeaders.test.ts

@@ -120,5 +120,8 @@ describe("Web document security headers", () => {
     expect(rootSource).toContain("<ScrollRestoration nonce={nonce} />");
     expect(rootSource).toContain("<Scripts nonce={nonce} />");
     expect(rootSource.match(/<script\s+nonce=\{nonce\}/g)).toHaveLength(2);
+
+    const topicSource = readFileSync(resolve(import.meta.dirname, "../app/routes/topic.$tid.tsx"), "utf8");
+    expect(topicSource).toContain('<script\n        nonce={nonce}\n        type="application/ld+json"');
   });
 });

openspec/changes/harden-web-security-headers/tasks.md

@@ -11,11 +11,11 @@
 - [x] 2.1 实现同源 CSP 报告资源路由，仅接受规定内容类型和受限请求体，解析兼容的报告 envelope 并返回无正文响应。
 - [x] 2.2 对 CSP 报告使用字段白名单和 URL 脱敏，只记录 directive、去除查询参数与片段的来源摘要、同源文档路径和策略阶段；拒绝记录原始正文、Cookie、请求头或代码片段。
 - [x] 2.3 为报告入口接入适用的匿名限流边界，并添加有效报告、格式错误、内容类型错误、超限、跨源 URL 和敏感查询参数测试。
-- [ ] 2.4 在候选 CSP 中配置报告目标，并通过浏览器 smoke test 验证首页、登录、话题详情、管理入口和 Turnstile 相关页面在 Report-Only 下可渲染、hydration、导航、请求 API 和加载当前头像来源。
+- [x] 2.4 在候选 CSP 中配置报告目标，并通过浏览器 smoke test 验证首页、登录、话题详情、管理入口和 Turnstile 相关页面在 Report-Only 下可渲染、hydration、导航、请求 API 和加载当前头像来源。
 
 ## 3. Feature-Complete：部署与强制切换
 
-- [ ] 3.1 核实生产 Caddy 和其他入口的现有 header 配置，为 CSP、HSTS 及其他安全头指定唯一所有者，并确认最终客户端响应不存在冲突、重复或策略放宽。
+- [x] 3.1 核实生产 Caddy 和其他入口的现有 header 配置，为 CSP、HSTS 及其他安全头指定唯一所有者，并确认最终客户端响应不存在冲突、重复或策略放宽。
 - [x] 3.2 增加无需重建镜像即可切换 CSP 阶段和 HSTS `max-age` 的安全运行时配置，校验未知值时采用安全、可用且可观测的默认行为。
 - [ ] 3.3 定义并执行 Report-Only 观测门槛：约定窗口内无未解释第一方违规、关键浏览器测试通过、必要来源均有评审记录，然后切换强制 CSP。
 - [x] 3.4 为发布后探测增加首页、交互页面和 HTML 错误响应检查，确认预期 CSP 阶段、HSTS、安全头、hydration 和资源加载，且探测输出不包含 Cookie、凭据或报告原文。