응답마다 내용이 달라지는 승인된 인라인 초기화 스크립트를 `unsafe-inline` 없이 실행하려 한다. CSP 적용으로 적절한 것은?

1. 1

   응답마다 예측 불가능한 nonce를 만들고 CSP와 승인된 script 태그에 같은 값을 넣는다.

2. 2

   내용이 매번 바뀌는 인라인 스크립트에 하나의 고정 hash를 계산해 계속 사용한다.

3. 3

   정책을 report-only로만 전송해 승인되지 않은 스크립트도 실행한 뒤 보고만 받는다.

4. 4

   nonce를 추가하되 `unsafe-inline`도 함께 허용해 nonce가 없는 모든 인라인 스크립트를 실행한다.