は、なぜ私は私のようなセキュリティポリシーを定義しているどこにでも私のコンテンツセキュリティポリシーの作業を行いますが、サファリ

。は、なぜ私は私のようなセキュリティポリシーを定義しているどこにでも私のコンテンツセキュリティポリシーの作業を行いますが、サファリ

私は、FirefoxやChromeで支障がない（IEはまだCSPをサポートしていません）しかし、私はSafariでテストをしようとすると、私は次のようにエラーの文字列を取得：

Refused to load style from 'http://localhost/styles/alliance.css' because of Content-Security-Policy. 
. 
. 
. 
Refused to load image from 'http://localhost/images/Landing1.jpg' because of Content-Security-Policy. 
. 
. 
. 
Refused to load script from 'http://localhost/JQuery/jquery-1.7.2.min.js' because of Content-Security-Policy.

イメージがカバーされるべきですデフォルトではsrcで、他の2つは「Self」としてリストされているので、Safariが画像とスクリプトを受け入れない理由はわかりません。私はMacを持っていないので、Windows（5.1.7）でSafariを使用しています。

アイデア？ありがとうございました！

出典

2012-12-01 Mark Brittingham

Safari 5はCSPの実装が少し遅れています。 Safari 6ははるかに優れていますが、Windows用にリリースされたとは思いません。私はあなたが単に実装のバグを見ていると思います。 WebKitのナイトリーがWindowsで利用できる場合は、テスト用の良い選択肢かもしれません。

正直なところ、X-WebKit-CSPヘッダーをSafari 5に配信することはお勧めしません。Safari 6、はい、しかし5は実際に使用するにはあまりにも壊れています。

ポリシーを簡素化できることにも注意してください。 script-srcとframe-srcの両方がdefault-srcになります。 default-src 'self'; style-src 'self' 'unsafe-inline'は同じ効果があります。

出典

2012-12-02 07:12:30

ありがとうございます。私はSafari 6がCSPをどのように実装したかを参照していましたが、Safari 5と同じエフェクトにコメントがないことが私には不思議でした。 SafariのWindowsユーザーの不足を考えると、私はそれを無視する傾向がありますが、それは私よりも問題であることを知るのにまだ役立ちます。 –

あなたの他の観察にも感謝します。「余分な」部分は痕跡が残っていた。私はもともとdefault-srcを提供していなかったので、Chromeは正常に動作しました。しかし、Firefoxはそれを必要としていた。 –

Firefoxは1.0仕様に完全に準拠する前にやるべきことが少しありますが、急速に進んでいます。私は彼らがあなたのために物事を少し簡単にする未修正の「Content-Security-Policy」ヘッダSoon™をサポートしてくれることを期待しています。（Chromeは25で固定されていないヘッダーをサポートする必要があります）。 –

は、なぜ私は私のようなセキュリティポリシーを定義しているどこにでも私のコンテンツセキュリティポリシーの作業を行いますが、サファリ

答えて

関連する問題