self 속성은 현재 그 페이지만이 아니라 도메인이 같은 것만 허용하는 것으로 알고있습니다.
그래서 굳이 /vuln?param=/memo?memo= 이런식으로 하지 않고
/memo?memo=' + document.cookie 이렇게 풀어도 되지 않을까? 했는데
이렇게 하면 쿠키값이 할당이 되지 않아서 공백이 출력됩니다.

        driver.get("http://127.0.0.1:8000/")
        driver.add_cookie(cookie)
        driver.get(url)

코드에서는 vuln 페이지에서 쿠키를 할당하는 것도 아니고
전체 페이지에 대해서 쿠키를 설정하고 있는데, 왜 이렇게 되는 것일까요?
그리고 script 속성에 nonce 설정이 되어있는데도 nonce를 입력하지 않아도 되는 이유는 뭔지 궁금합니다 nonce 속성은 인라인 코드에만 적용되는 것일까요?

마지막으로 style 태그에 대해서 unsafe-inline 속성 때문에
style 태그 안에 인라인 코드 삽입이 가능한 것으로 알고있는데,
<style>body { background-image : url('example.com?param=123')}</style> 과 같은 쿼리는 아예 먹히지 않는 이유는 무엇일까요?