Не будем говорить о том, как можно игнорировать нативный html-аттрибут — просто разберем пример, как решить проблему.

Решение очень простое, но, тем не менее, не уменьшает удивление от поведения Safari.

$('input[name="securitycode"]').keypress(function() {
    if (this.value.length >= 4) {
        return false;
    }
});

Данный простой код не даёт ввести в поле более, чем 4 символа.

Ничего нового, впрочем. Удачи!