在HTTPS反向代理下，部分静态资源URL无法跟随协议自适应

xczh commented 3 years ago

1. 该问题的重现步骤是什么？

按照docker安装说明一键部署，此时可通过http://127.0.0.1:8000正常访问应用
安装docker安装说明配置Nginx反向代理（不配置CSP头）
打开浏览器访问https://你的域名
发现部分静态资源加载失败（协议为http），打开F12网络选项卡发现由于mix-content被浏览器安全策略阻止

2. 你期待的结果是什么？实际看到的又是什么？

正常加载静态资源

3. 问题出现的环境

操作系统版本：
Apache/NGINX 版本：
PHP 版本：7.4
OLAINDEX 版本：6.0
浏览器版本：Chrome

可能的原因

经查，这些静态资源是Laravel中使用asset()函数生成的URL，文档称该函数直接生成HTTP协议的链接，不会根据当前实际的请求协议自动调整到HTTPS，导致出现mix-content错误。建议在代码里加入当前请求协议的判断，如果是https，则静态资源也应该使用https加载，避免浏览器安全策略阻止。

xczh commented 3 years ago

另外，建议在index中显式加入CSP策略声明（使用标签），这些技术细节对用户透明可减少部署难度~

OysterQAQ commented 3 years ago

+1

stale[bot] commented 3 years ago

This issue has been automatically marked as stale because it has not had recent activity. It will be closed if no further activity occurs. Thank you for your contributions.

AxelPanda commented 3 years ago

同样的问题，Nginx反向代理后前台所有的链接都为http协议，下载时会提示无法安全下载；后台的界面的静态资源为http协议，页面无法正常加载js和css。

WangNingkai / OLAINDEX