CSP Safari tarafından yok sayılmadı

Question

Web uygulamam için CSP uyguladım ve Chrome'da gayet iyi çalışıyor. nonce ile tüm satır içi komut dosyaları yürütülür; ve olmayanlar idam edilmez. '' Nonce-fbe23fb21d40c38e8df7c0a16357dd3ec4be86ca233cb41206ac5f897cf9a103' :

İçerik Güvenliği İlkesi direktifi 'script src' için kaynak listesi geçersiz kaynağını içerir:

ancak Safari'de

, bu şimdiye Konsolda görebileceğiniz mesajdır '. Göz ardı edilecektir.

Başlık: inline komut

Content-Security-Policy script-src 'nonce-cb28e5c8a2b833169bb8d1fa686f659fed9b3bf8ea52b86916bcaf20a04b3209' 'self' 

Yok nonce de dahil olmak, yürütülür.

Answer 1

Safari henüz desteklemiyor (lütfen bunu desteklemesi için yerel webkit temsilcinize sorun), ancak Firefox ve Chrome, geriye dönük olarak uyumlu olan standart davranışı uyguladılar. Yani, bir nonce varsa, o zaman 'unsafe-inline' göz ardı edilir.

İkisi de 'unsafe-inline' ve sizin olmayan öğelerinizi gönderin ve istediğiniz davranışı elde edersiniz. Safari, "bilinmeyen kaynak değeri" hakkında şikayette bulunacak, ancak amaçlandığı gibi çalışacaktır. Benim açısal app böyle CSP (izin vermeyerek güvensiz-inline) kullanırsanız

o açısal olayları ng tıklama iş gibi izin verir,