为什么 HTTPS 含有 HTTP 资源依然被载入？

This topic created in 3862 days ago, the information mentioned may be changed or developed.

照理来说， https 页面如果引用了非 https 的资源，不是照理不会被浏览器加载的吗？
可为什么实际上 http 的图片仍然会被加载，而不是被屏蔽？是因为即使被替换也不会有安全问题吗？
试了下 IE11, Edge, Firefox 和 Chrome 都是这样。

例如淘宝的用户页：

再比如本页面：

但是这样的话，中间人是不是依然可以把正常图片替换为广告图片？
如果是的话，进一步想，如果某些支付 /银行网站页面的正常图片被替换成醒目的诈骗信息图片（比如闪烁的“你的安全受到威胁，请拨打 XXXXX 联系客服！”图片），不是仍然会对用户造成安全威胁吗？

照理

替换

图片

IE11

22 replies • 2015-11-13 10:13:45 +08:00

heiybb

Nov 13, 2015 via Android

从来没听过说不加载

mcfog

Nov 13, 2015

注意观察地址栏

我猜 2020 年 chrome 率先默认拒绝加载这种资源

ryd994

Nov 13, 2015 via Android

那你就上 hsts 啊
hsts 可以全域名 https

TakanashiAzusa

Nov 13, 2015

浏览器会选择部分加载，但是地址栏图标会有变化
图片一般都是加载的， js 的话不会自动加载，右边会有小盾牌提示

lhbc

Nov 13, 2015 via Android

js 资源应该是不加载的
图片问题不大

Andy1999

Nov 13, 2015 via iPhone

@heiybb 我的站引入 http Chrome 直接不加载也不清楚为啥
我是 src 里面的 http
可能跟正文内容不一样吧

hicdn

Nov 13, 2015

图片可以加载， js 不加载

heiybb

Nov 13, 2015

@Andy1999 不清楚，我博客之前的背景是 src 里的 http ，但能正确加载。另外你博客的音乐播放好像出问题了=、=，开链接就开新歌，不断叠加，一开 F12 就只剩一首。

lshero

Nov 13, 2015

都是浏览器的安全策略问题啊

以 IE 为例
打开 IE-Internet 选项-安全-自定义级别-显示混合内容-禁用

quericy

Nov 13, 2015

@heiybb 貌似是 pjax 和音乐加载组件冲突?多重奏不要太带感 23333

Quaintjade

Nov 13, 2015 via Android

@heiybb
我知道 js 是不加载的，但以前没注意图片会加载。

@mcfog
我觉得地址栏还是 firefox 做得最好，显示锁加黄色三角，会引起注意。其他浏览器都只是显示和 http 一样的图标，一般用户不会那么注意。

@ryd994
你是从网站出发的想法，但网站制作者的安全意识从弱到强应该是：
有意识上 https ，但页面出现混合内容；
上了 https ，页面无混合内容；
有意识用 HSTS 、 HSTS preload ；
对 CDN 也用 HSTS 。
也就是说，一个会用 HSTS 的网站制作者，一般来说本来就不会让页面出现 http 混合内容。
而我想说的是从浏览器出发，即使网站制作者是渣渣、网站漏洞百出，也能尽可能保护用户安全。

@lshero
只是刚注意到主流浏览器默认安全级别都会显示混合内容的图片

Quaintjade

Nov 13, 2015 via Android

@heiybb
好像通过 flash/java 等插件以某些方式加载的非 https 资源不会被拦截，因为这属于插件自己的策略