Estamos rediseñando algunas de nuestras aplicaciones, y uno de los requisitos es poder adherirse a las políticas de seguridad de contenido que no permiten scripts en línea.

En general, la mayoría de los controladores de eventos y bloques de lógica ya están en archivos externos, y mover los rezagados restantes no es un problema, con la siguiente excepción.

Tenemos configuraciones que se almacenan en una base de datos SQL y debemos hacer que algunos de estos valores estén disponibles para los archivos .js para la página HTML renderizada.

Normalmente haría algo como:

 <script> var ns.i = '<?= $i;?>', ns.j = '<?= $j;?>'; </script>

Me parece que tengo estas posibles opciones:

1. Coloque los valores requeridos en una matriz asociativa, json_encode, póngalo en un campo de formulario oculto. Esto me parece un truco, pero también el más simple desde mi perspectiva.
2. Cree una etiqueta div y coloque todos los valores en los atributos de datos de HTML 5.
3. Cree un formulario y coloque los valores en campos de formulario ocultos.
4. Genere un nonce y configure el atributo nonce en la etiqueta del script y configure el encabezado CSP nonce.

Hasta ahora no he podido encontrar recomendaciones o mejores prácticas documentadas para este tipo de cosas.

refactorizar este código es mucho trabajo y quiero hacer todo lo posible para asegurarme de que lo estamos haciendo de la mejor manera posible en este momento.