Safari CSP忽略了随机数和不安全内联

Question

我正在进一步锁定CSP并应用基于CSP3随机数的方法。除了Safari之外，所有浏览器都可以正常运行

带有随机数和以下CSP的示例内联脚本（已修剪以删除一些允许的URL-我也检查了Nonce匹配项）：

[...]
var Country_name_en = data[a]['country_name_en'];
[...]

Safari的错误：

我正在OSx上的Safari 11上进行测试，但根据我们的测试报告，该问题在Safari 12上存在。

任何帮助表示赞赏。

Answer 1

好的，我解决了这个问题：

根据我的经验和此处的测试：Safari无法同时具有强制执行的CSP和仅报告报告的CSP，似乎在它们之间混合了策略，并报告了不违反项的违规情况。

删除CSP指令之一，然后仅发送报告或强制执行报告，它将按预期开始工作。