在 https 网站上加载 http 内容答案

【问题标题】：Loading http content on https website在 https 网站上加载 http 内容
【发布时间】：2012-01-17 22:04:21
【问题描述】：

我正在考虑使用 https 的网站架构。我现在有一个 CDN 服务器托管图像、css 和更多静态文件。

网站本身使用 HTTPS 来保护敏感的客户数据。使用静态图像，例如通过网站“https://www.example.com”上的“http://cdn.example.com/images/test.jpg”加载会弹出“加载不安全数据”消息吗？

因此，在受保护的网站上加载外部未受保护的数据。这会导致弹出警告“正在加载不安全的数据，继续吗？”？

谢谢！

【问题讨论】：

【解决方案1】：

是的。

如果一个页面是通过 HTTPS 加载的，那么它使用的每个资源也应该通过 HTTPS 加载。

否则，中间人可能会将图像替换为具有误导性的图像（或利用浏览器中的缓冲区溢出问题来执行代码的图像），并将脚本替换为执行不同操作的图像（例如将数据泄露给第三方） .

【讨论】：

【解决方案2】：

您必须通过 https 加载所有资源才能消除该警告。您可以将资源移至支持加密的服务器，或通过 https 链接到外部资源。

【讨论】：

【解决方案3】：

如果您真的想在 https 中加载 http 内容，您可以按照此方法使用后端处理程序，该处理程序负责下载和公开所需内容，并使用包括哈希在内的自伪造链接。然后安全问题得到修复，您可以通过 https 访问内容。

【讨论】：