Tại sao nội dung công việc chính sách an ninh của tôi ở khắp mọi nơi nhưng Safari

Question

tôi đã xác định chính sách bảo mật của tôi là:

default-src 'self'; script-src 'self'; frame-src 'self'; style-src 'self' 'unsafe-inline'; 

(tôi vẫn còn có CSS ​​ở phần đầu của nhiều trang).

Tôi không có rắc rối với trình duyệt Firefox hoặc Chrome (IE không hỗ trợ CSP chưa) nhưng, khi tôi cố gắng thử nghiệm trong Safari, tôi nhận được một chuỗi các lỗi như:

Refused to load style from 'http://localhost/styles/alliance.css' because of Content-Security-Policy. 
. 
. 
. 
Refused to load image from 'http://localhost/images/Landing1.jpg' because of Content-Security-Policy. 
. 
. 
. 
Refused to load script from 'http://localhost/JQuery/jquery-1.7.2.min.js' because of Content-Security-Policy. 

Những hình ảnh nên được bảo hiểm theo mặc định-src và hai cái kia được liệt kê là "Tự" vì vậy tôi không biết tại sao Safari không chấp nhận hình ảnh và tập lệnh của tôi. Tôi không có máy Mac nên tôi đang sử dụng Safari trên Windows (5.1.7).

Bất kỳ ý tưởng nào? Cảm ơn bạn!

Answer 1

Safari 5 có chút chậm trễ trong việc triển khai CSP. Safari 6 là tốt hơn nhiều, nhưng tôi không nghĩ rằng nó đã được phát hành cho Windows. Tôi nghĩ rằng bạn chỉ đơn giản là nhìn thấy lỗi triển khai. Nếu NightKit nightlies có sẵn cho Windows, đó có thể là một lựa chọn tốt để thử nghiệm.

Thành thật mà nói, tôi sẽ không khuyên bạn nên phục vụ tiêu đề X-WebKit-CSP cho Safari 5. Safari 6, có, nhưng 5 là một chút quá bị hỏng để thực sự sử dụng.

Cũng lưu ý rằng bạn có thể đơn giản hóa chính sách của mình. Cả hai script-src và frame-src sẽ quay trở lại default-src. default-src 'self'; style-src 'self' 'unsafe-inline' sẽ có tác dụng tương tự.