Настройка CSP - Content Security Policy

Тут и необходимость этой гадости самой по https работать

В общем, такие глюки бывают, поскольку на сегодня ещё не все браузеры корректно поддерживают CSP.
Для однозначного ответа надо смотреть как часто это проявляется и на каких ЮзерАгентах.
Да, так надо указывать по стандарту CSP, а как делает Vodoleev: http://*.google-analytics.com https://*.google-analytics.com - это "по-жизни".
Дело в том, что мобильный Safari имеет баг в реализации CSP и не понимает домен, если протокол не указан в явном виде.

Поэтому у Vodoleev-а в отчётах не будет ошибок от мобильного Сафари.

Vodoleev:
Есть ругань на домены Гугл аналитикс, на домены и поддомены своего сайта и на др указанные в конфиге CSP домены. Юзер агент - Google bot или браузер из iphone (разные).

Vodoleev:
Кстати, для домена www.tns-counter.ru (откуда он подцепляется, кстати?) такие же юзерагенты:

Vodoleev:
По ВСЕМ вылавливаемым доменам - только такие преимущественно юзерагенты. Что это значит? На сайт ходят десятки тысяч в день, а в отчетах CSP только эти юзерагенты.

Похоже, ваш csp.php принимает не все отчёты. Скрипт от LEOnidUKG поставили, что ли? У его скрипта есть такой глюк.

Рюшечки к csp.php

Более читаемые отчеты + раскладывает по папкам вида 21012015

Может пригодится кому...

<?php
/*function spam($data)
{
$mas***91;***93;=Array(); //список для игнора 'bad_url_1', 'bad_url_2', 'bad_url_3'...

$kol=count($mas);
$result=0;
for ($i=0; $i<$kol; $i++)
{
if ( ($mas***91;$i***93;)&&(strpos($data,$mas***91;$i***93;)) ) $i=$kol;
}
return $result;
}
*/
header("HTTP/1.0 204 No Response");
$data = file_get_contents('php://input');
if ($data = json_decode($data))
{
$data=stripslashes(json_encode($data));
#if (spam($data)==0) //это если шнягу фильтровать - а так не надо
#{
if(!is_dir($_SERVER***91;'DOCUMENT_ROOT'***93;.'/csp/'.date("dmY"))) mkdir($_SERVER***91;'DOCUMENT_ROOT'***93;.'/csp/'.date("dmY"), 0777);
else
{
$data_z = $data;
$data_z = str_replace("{","",$data_z);
$data_z = str_replace("}","",$data_z);
list($hello, $body) = explode("csp-report", $data_z);
list($document_uri, $referrer, $violated_directive, $original_policy, $blocked_uri, $source_file, $line_number, $column_number, $status_code) = explode(",", $body);
$print_data = "csp-report:\n----------------------------------------\n".$document_uri."\n".$referrer."\n".$violated_directive."\n".$blocked_uri."\n".$source_file."\n".$line_number."\n".$column_number."\n".$status_code."\n";
preg_match('#"blocked-uri":"(.*)",#isU',$data,$url);
if ($url***91;1***93;)
{
preg_match('#"violated-directive":"(.*)",#isU',$data,$url1);
$var_array = explode('/',$url***91;1***93;);
if($var_array***91;2***93;)file_put_contents($_SERVER***91;'DOCUMENT_ROOT'***93;.'/csp/'.date("dmY").'/'.$var_array***91;2***93;, 'violated-directive: '.$url1***91;1***93;."\nUSER_AGENT: ".$_SERVER***91;'HTTP_USER_AGENT'***93;."\nIP: ".$_SERVER***91;'REMOTE_ADDR'***93;."\n\r#---------------------------------------------------------------~\n", FILE_APPEND | LOCK_EX);
else file_put_contents($_SERVER***91;'DOCUMENT_ROOT'***93;.'/csp/'.date("dmY").'/'.date("H").'-csp-report.txt', $print_data."\n".$_SERVER***91;'HTTP_USER_AGENT'***93;."\n".$_SERVER***91;'REMOTE_ADDR'***93;."\n----------------------------------------\n", FILE_APPEND | LOCK_EX);


}
else
{

file_put_contents($_SERVER***91;'DOCUMENT_ROOT'***93;.'/csp/'.date("dmY").'/'.date("H").'-csp-report.txt', $print_data."\n".$_SERVER***91;'HTTP_USER_AGENT'***93;."\n".$_SERVER***91;'REMOTE_ADDR'***93;."\n----------------------------------------\n", FILE_APPEND | LOCK_EX);

}
}
#}
}

?>

$object = $object['csp-report'];

$document_uri = $object['document-uri'];
$referrer = $object['referrer'];
$violated_directive = $object['violated-directive'];
$original_policy = $object['original_policy'];
$blocked_uri = $object['blocked-uri'];
$source_file = $object['source-file'];

И парсинг json давайте по старинке сделаем - json_decode($data, true)

theKashey:
Это не скрипт, а один большой костыль. Данные приходят в разном порядке, и ТАК парсить их нельзя. За такое вообще вон из проффесии.
. . .
А лучше выкиньте и возьмите вариант от Леонида.

Ladycharm:
Угу, а за такую работу с JSON как у Леонида: $spsline=preg_replace('@.*?"blocked-uri":"@smi','',$data); - талоны на доп.питание выдавать?
Вы же сами пишете: "Данные приходят в разном порядке" - где гарантия от потери полей при удалении части строки до blocked-uri?

Ladycharm:

PS: Правила CSP у вас очень жесткие - полностью запрещены инлайн-скрипты и инлайн-хэндлеры в тэгах (типа onClick, onMouseOver...). Вы их не используете, или всё сделано на jQuery?

theKashey:
Это не скрипт, а один большой костыль. Данные приходят в разном порядке, и ТАК парсить их нельзя. За такое вообще вон из проффесии.
Замените у него с data_z, до $print_data код на

А лучше выкиньте и возьмите вариант от Леонида.