Perché il contenuto del lavoro la politica di sicurezza in tutto il mondo, ma Safari

Question

ho definito la mia politica di sicurezza come:

default-src 'self'; script-src 'self'; frame-src 'self'; style-src 'self' 'unsafe-inline'; 

(ho ancora i CSS a capo di diverse pagine).

Non ho problemi con Firefox o Chrome (IE non supporta CSP ancora), ma, quando provo test in Safari, ho una serie di errori come:

Refused to load style from 'http://localhost/styles/alliance.css' because of Content-Security-Policy. 
. 
. 
. 
Refused to load image from 'http://localhost/images/Landing1.jpg' because of Content-Security-Policy. 
. 
. 
. 
Refused to load script from 'http://localhost/JQuery/jquery-1.7.2.min.js' because of Content-Security-Policy. 

Le immagini dovrebbero essere coperti per impostazione predefinita-src e gli altri due sono elencati come "Self", quindi non so perché Safari non accetta le mie immagini e script. Non ho un Mac, quindi sto usando Safari su Windows (5.1.7).

Qualche idea? Grazie!

Answer 1

Safari 5 è un po 'indietro nella sua implementazione di CSP. Safari 6 è molto meglio, ma non penso che sia stato rilasciato per Windows. Penso che tu stia semplicemente vedendo bug di implementazione. Se i nightky WebKit sono disponibili per Windows, questa potrebbe essere una buona alternativa per i test.

Onestamente, però, non consiglierei di servire l'intestazione X-WebKit-CSP su Safari 5. Safari 6, sì, ma 5 è un po 'troppo rotto per essere usato davvero.

Nota anche che è possibile semplificare la politica. Entrambi script-src e frame-src tornano a default-src. default-src 'self'; style-src 'self' 'unsafe-inline' dovrebbe avere lo stesso effetto.