HTTP / HTTPS 站点互相嵌套科普一句话结论场景是否可行HTTP 页面嵌套 HTTP 资源✅ 可以HTTP 页面嵌套 HTTPS 资源✅ 可以HTTPS 页面嵌套 HTTPS 资源✅ 可以HTTPS 页面嵌套 HTTP 资源❌ 大概率被拦截或自动升级失败只有HTTPS 里嵌 HTTP这一种组合有问题,这种情况浏览器称之为混合内容(Mixed Content。为什么 HTTPS 页面不能随便嵌 HTTP 资源HTTPS 的核心承诺是:内容传输过程加密、防篡改。如果一个 HTTPS 页面里混入了 HTTP 资源(比如script srchttp://xxx.js这个 HTTP 请求本身是明文传输的,可能被中间人运营商劫持、公共 WiFi 篡改等替换成恶意内容。这样一来,即使主页面是 HTTPS,整体安全性也被这一个漏洞拖垮了——相当于给保险箱开了一道没锁的小门。所以浏览器厂商引入了混合内容检测机制来堵住这个漏洞。混合内容的两种类型1. 主动混合内容Active Mixed Content—— 直接拦截这类资源可以执行代码或改变页面行为,风险最高,浏览器直接阻止加载:script srchttp://...link relstylesheet hrefhttp://...iframe srchttp://...fetch()/XMLHttpRequest请求 HTTP 地址Web Fontfont-face里的 http 字体文件2. 被动混合内容Passive Mixed Content—— 警告或静默处理这类资源本身不会执行代码,风险相对较低:img srchttp://...video/audio早期浏览器只是在地址栏显示警告图标不阻止加载但现代浏览器已经收紧策略倾向于自动升级或直接拦截。现代浏览器的真实行为现在的 Chrome、Firefox、Edge 等主流浏览器默认开启了自动升级upgrade-insecure-requests页面里所有http://资源请求会被浏览器自动改写成https://再去请求。如果对方服务器没有对应的 HTTPS 版本比如只监听了 80 端口这个资源就会加载失败页面上通常表现为图片裂图、脚本报错、iframe 空白而不是明确提示混合内容错误。这也是为什么很多人排查半天发现明明地址是对的就是加载不出来——十有八九是这个原因。实际项目建议主站是 HTTPS就把所有子资源、子服务也统一升级成 HTTPS包括图片、视频等静态资源服务器CDN内部工具如 kkFile 预览服务、OSS 对象存储等反向代理如 Nginx层面统一在边界做 HTTPS 终止内部服务即使还是 HTTP也让用户实际访问到的入口是 HTTPS。不要图省事直接在 HTTPS 页面里写死http://链接哪怕当下看起来能用未来浏览器策略收紧后大概率会出问题。排查资源加载不出来问题时记得打开浏览器控制台Console看是否有Mixed Content相关报错这是最快的定位方式。一个简单的类比HTTPS 页面就像一辆装了防弹玻璃的车。如果车窗上开个洞伸出去拿东西嵌入 HTTP 资源防弹玻璃再厚也没用了——浏览器干脆不让你开这个洞。
