CSP-Deklaration für Safari

McSodbrenner · 09.02.2012, 11:20

Hi,

ich baue gerade an einer Seite, die per CSP (Content Security Policy) abgesichert werden soll. Funktioniert einwandfrei in FF10 und Chrome 17, aber nicht im Safari 5.1.2. Dieser lädt keine externen Dateien und ich bekomme in der Konsole folgende Ausgabe:

Code:

Refused to load style from 'http://192.168.3.65/muse/main/twitter-bootstrap-2.0/css/bootstrap.min.css' because of Content-Security-Policy.
Refused to load style from 'http://192.168.3.65/muse/main/style.css' because of Content-Security-Policy.
Refused to load script from 'http://ajax.googleapis.com/ajax/libs/jquery/1.7/jquery.min.js' because of Content-Security-Policy.
Refused to load script from 'http://192.168.3.65/muse/main/twitter-bootstrap-2.0/js/bootstrap.min.js' because of Content-Security-Policy.
Refused to load script from 'http://192.168.3.65/muse/main/xtras/javascript/json2.js' because of Content-Security-Policy.
Refused to load script from 'http://192.168.3.65/muse/main/xtras/javascript/aes.js' because of Content-Security-Policy.
Refused to load script from 'http://192.168.3.65/muse/main/xtras/javascript/sha256.js' because of Content-Security-Policy.
Refused to load script from 'http://192.168.3.65/muse/main/xtras/javascript/showdown.js' because of Content-Security-Policy.
Refused to load script from 'http://192.168.3.65/muse/main/xtras/javascript/jquery.aes.js' because of Content-Security-Policy.
Refused to load script from 'http://192.168.3.65/muse/main/xtras/javascript/jquery.autocomplete.js' because of Content-Security-Policy.
Refused to load script from 'http://192.168.3.65/muse/main/xtras/javascript/jquery.sisyphus.js' because of Content-Security-Policy.
Refused to load script from 'http://192.168.3.65/muse/main/xtras/javascript/default.js' because of Content-Security-Policy.
Refused to load script from 'https://browserid.org/include.js' because of Content-Security-Policy.

Meine CSP-Header sehen folgendermaßen aus:

Code:

X-WebKit-CSP:              default-src 'none'; script-src 'self' http://ajax.googleapis.com https://browserid.org; img-src 'self' www.xing.com www.facebook.com www.twitter.com *.gstatic.com; style-src 'self' 'unsafe-inline'
x-content-security-policy: default-src 'none'; script-src 'self' http://ajax.googleapis.com https://browserid.org; img-src 'self' www.xing.com www.facebook.com www.twitter.com *.gstatic.com; style-src 'self' 'unsafe-inline'

Der Safari scheint CSP also grundsätzlich zu kennen, aber irgendetwas an den X-Webkit-Headern scheint ihn zu stören (im Gegensatz zu Chrome).

Hat jemand eine Idee, was ich falsch geschrieben habe?

Viele Grüße,
Christoph

tr0y · 09.02.2012, 16:08

Welche Safari-Version nutzt du denn genau, 5.1.2 hat einige releases ? Safari hat erst seit 5.1.3 CSP implementiert. ( tested, siehe browserscope.org -> security, ganze rechte spalte )

McSodbrenner · 09.02.2012, 17:27

Bei mir steht dort CSP ab 5.1.2. Und er scheint den Header ja auch irgendwie zu interpretieren. Halt nur total falsch, weil er alles blockt.

Ich hätte hier gerade eine Mac- und eine Windows-Nummer zur Verfügung:
Mac: 5.1.2 (6534.52.7)
Windows: 5.1.2 (7534.52.7)

Funktioniert auf beiden System nicht.

Und bei beiden Systemen gibts leider keine neueren Versionen. Kommt 5.1.3 erst mit MacOSX 10.7?

tr0y · 09.02.2012, 18:00

hmm CSP wurde beim 5.1.2 auch erfolgreich getestet ( hab nochmal genauer nachgesehen ). Deine Header sind auch korrekt definiert ( gemäß CSP Draft der w3c ).

Hast du dir mal angeschaut ob der Client die Header überhaupt bekommt ?

McSodbrenner · 10.02.2012, 09:40

Ja, sie kommen, deshalb krieg ich ja auch soviele Fehler im Safari.
Lustigerweise habe ich jetzt den Security-Test bei browserscope.org mit dem Safari gemacht und bin bei CSP durchgefallen.

Ich frag mich jetzt irgendwie, wie dann dort ein "yes" stehen kann.

Für mich hab ich jetzt die Erkenntnis, dass die Header zwar beachtet werden, aber total fehlerhaft... muss ich wohl eine Browser-Detection einbauen

tr0y · 10.02.2012, 10:15

Naja... Browser-Versionen können in unterschiedlichen subversionen oder revisions auch unterschiedliche Funktionalität haben, ist bspw. bei den Aurora-Builds von Mozilla Firefox gang und gebe.

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
Browserbar und Navi beim Safari unterdrücken	mt.90	JavaScript, Ajax und mehr	19	10.03.2012 01:06
[Erledigt] Problem mit CSS oder JS? FF und IE wunderbar, Chrome Safari etc. nicht	hossi86	HTML, Usability und Barrierefreiheit	7	12.10.2011 16:03
[Erledigt] SSL Zertifiakt und Safari	acdc	Server, Hosting und Workstations	5	05.05.2011 13:24
Safari Refrech	kerstel	HTML, Usability und Barrierefreiheit	4	24.03.2011 08:27
Pfad auslesen von type=file in Safari	Angins	PHP Tipps 2010	12	01.07.2010 18:47
Safari und Chrome: kein Umbruch in Tabelle mit [border = "0"] ?	brehdif	HTML, Usability und Barrierefreiheit	1	18.06.2010 12:01
Formular mehrere Submit Buttons - Safari	LarsVern	PHP-Fortgeschrittene	5	13.05.2010 19:15
XMLHttpRequest funktionieren in Safari und Chrome nicht	mattla93	JavaScript, Ajax und mehr	8	16.04.2010 22:13
Safari und Formularfelder..	halskrause	HTML, Usability und Barrierefreiheit	2	22.07.2009 17:29
iFrames + Safari	rocco	HTML, Usability und Barrierefreiheit	9	01.01.2009 22:03
system() flush und Safari	webbi	PHP-Fortgeschrittene	6	07.07.2008 21:30
HTML/CSS: Safari (Mac): Scroll-Leisten ausblenden	SvenLittkowski	HTML, Usability und Barrierefreiheit	4	24.10.2007 19:48
JavaScript: Safari Browser: Problems	SvenLittkowski	HTML, Usability und Barrierefreiheit	11	14.09.2007 13:13
HILFE! Meine Website laeuft unter Mac OS X / Safari nicht!	SvenLittkowski	HTML, Usability und Barrierefreiheit	14	19.03.2007 00:35
Safari hängt url an url		PHP Tipps 2007	2	05.12.2005 12:23


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

09.02.2012, 16:08
tr0y Erfahrener Benutzer Registriert seit: 26.07.2010 Beiträge: 4.865 PHP-Kenntnisse: Fortgeschritten	Welche Safari-Version nutzt du denn genau, 5.1.2 hat einige releases ? Safari hat erst seit 5.1.3 CSP implementiert. ( tested, siehe browserscope.org -> security, ganze rechte spalte ) __________________ Lasse mir ohne Anwendung von Gewalt Dinge schenken, Amazon weiß darüber bald mehr.

09.02.2012, 17:27
McSodbrenner Erfahrener Benutzer Registriert seit: 28.11.2008 Beiträge: 160 PHP-Kenntnisse: Fortgeschritten	Bei mir steht dort CSP ab 5.1.2. Und er scheint den Header ja auch irgendwie zu interpretieren. Halt nur total falsch, weil er alles blockt. Ich hätte hier gerade eine Mac- und eine Windows-Nummer zur Verfügung: Mac: 5.1.2 (6534.52.7) Windows: 5.1.2 (7534.52.7) Funktioniert auf beiden System nicht. Und bei beiden Systemen gibts leider keine neueren Versionen. Kommt 5.1.3 erst mit MacOSX 10.7? __________________ http://mcsodbrenner.blogspot.com/ Serpent PHP Template Engine: http://code.google.com/p/serpent-php-template-engine/

09.02.2012, 18:00
tr0y Erfahrener Benutzer Registriert seit: 26.07.2010 Beiträge: 4.865 PHP-Kenntnisse: Fortgeschritten	hmm CSP wurde beim 5.1.2 auch erfolgreich getestet ( hab nochmal genauer nachgesehen ). Deine Header sind auch korrekt definiert ( gemäß CSP Draft der w3c ). Hast du dir mal angeschaut ob der Client die Header überhaupt bekommt ? __________________ Lasse mir ohne Anwendung von Gewalt Dinge schenken, Amazon weiß darüber bald mehr.

10.02.2012, 09:40
McSodbrenner Erfahrener Benutzer Registriert seit: 28.11.2008 Beiträge: 160 PHP-Kenntnisse: Fortgeschritten	Ja, sie kommen, deshalb krieg ich ja auch soviele Fehler im Safari. Lustigerweise habe ich jetzt den Security-Test bei browserscope.org mit dem Safari gemacht und bin bei CSP durchgefallen. Ich frag mich jetzt irgendwie, wie dann dort ein "yes" stehen kann. Für mich hab ich jetzt die Erkenntnis, dass die Header zwar beachtet werden, aber total fehlerhaft... muss ich wohl eine Browser-Detection einbauen __________________ http://mcsodbrenner.blogspot.com/ Serpent PHP Template Engine: http://code.google.com/p/serpent-php-template-engine/

10.02.2012, 10:15
tr0y Erfahrener Benutzer Registriert seit: 26.07.2010 Beiträge: 4.865 PHP-Kenntnisse: Fortgeschritten	Naja... Browser-Versionen können in unterschiedlichen subversionen oder revisions auch unterschiedliche Funktionalität haben, ist bspw. bei den Aurora-Builds von Mozilla Firefox gang und gebe. __________________ Lasse mir ohne Anwendung von Gewalt Dinge schenken, Amazon weiß darüber bald mehr.