从 HTTPS 页面访问 HTTP 图像源时来自 Chrome 87 的混合内容警告

Question

我们有一个在公司桌面上运行的内部 (.Net) 应用程序。它运行一个小型 Web 服务器，在 localhost 的特定端口上侦听 HTTP 请求。我们有一个单独的 HTTPS 网站，它通过将隐藏图像的 ImageUrl 设置为 URL 来与该应用程序进行通信 - 这会调用对 localhost 的 HTTP 请求，应用程序会接受并采取行动。例如，网站会将图片的 URL 设置为：

http://127.0.0.1:5000/?command=dostuff

这是为了解决来自网站的任何类型的“混合内容”消息，因为图像似乎不受混合内容规则的约束。有点小技巧，但效果很好。

我看到 Chrome 正在朝着完全阻止页面上的混合内容迈进，果然 Chrome 87（目前在测试版通道上）现在在控制台中显示了这些警告：

混合内容：“https://oursite.company.com/”的页面已加载 通过 HTTPS，但请求了不安全的元素 'http://127.0.0.1:5000/?command=dostuff'。这个请求是 自动升级到 HTTPS，更多信息见 https://blog.chromium.org/2019/10/no-more-mixed-messages-about-https.html

但是，尽管警告说请求正在自动升级，但它并没有 - 应用程序仍然收到一个普通的 HTTP 请求并继续正常工作。

关于此警告是否为“软失败”以及 Chrome 的未来版本是否会强制自动升级到 HTTPS（这会破坏事情），我找不到任何明确的指导。从长远来看，我们计划更换该应用程序，但我希望在任何会在此之前突然停止该应用程序工作的事情发生之前。

在上述场景中使用 HTTP 到 localhost 来处理图像和其他混合内容是否会成为未来的实际问题？

Answer 1

这个答案将集中在您的主要问题上：使用 HTTP 到 localhost 来处理上述场景中使用的图像和其他混合内容，将来会成为一个实际问题吗？

答案是是的。

blog post you linked to 说：

更新（2020 年 4 月 6 日）：混合图像自动升级最初计划用于 Chrome 81，但将至少延迟到 Chrome 84。请查看Chrome Platform Status entry 了解有关何时自动升级和阻止混合图像的最新信息，如果他们无法通过 https:// 加载。

那个状态条目说：

在开发者试用（在标志后面）（跟踪错误）中：
桌面版 Chrome 86
适用于 Android 的 Chrome 版本 86
Android WebView 发布 86
…
最后更新于 2020-11-03

所以这个功能被推迟了，但它即将来了。

Answer 2

通过您的问题和所有 cmets - 设身处地为您着想，我会做以下事情：

1. 既不干扰当前工作的 .Net 应用程序/本地主机服务器 (HTTP)，也不干扰面向用户 (HTTPS) 的前端。
2. 编写一个简单/廉价的云函数（GCP Cloud Function 或 AWS Lambda）以从前端完全抽象出您的 .Net 应用程序。您当前的 HTTPS 应用程序只会调用云功能（HTTPS 到 HTTPS - 不必再祈祷 Google 不会关闭混合流量，这最终会发生，尽管没人知道什么时候发生）。
3. 云功能只是将来自（不安全的）.Net 应用程序的图像/数据临时复制到云存储，然后通过 HTTPS 直接将其提供给您的客户端。