search

geeeger / blog

https://loofp.com
1 stars 0 forks source link

upgrade-insecure-requests #24

Open geeeger opened 3 years ago

geeeger commented 3 years ago

分享一个问题，

geeeger commented 3 years ago

分享一个问题， 魔方拉取榜单，部分资源内容非https,可能来自腾讯云cos，也可能来自抓取或者合作方给的链接，也可能自己填的。

此时被浏览器内容安全策略拦截， 报mixed-content错误 简单处理的话，设置csp为 该参数upgrade-insecure-requests 遇到如果资源存在https链路，则直接替换为https，不存在的话，保持原状。

CSP有很多设置，CSP同样可以通过 web容器设置（nginx一类） 详见: https://content-security-policy.com/ https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/upgrade-insecure-requests

注，upgrade-insecure-requests 是 CR状态（候选），兼容程度

Upgrade Insecure Requests is supported by Mozilla Firefox (42+), Google Chrome (43+), Microsoft Edge (Build 17134+), Opera (30+), le navigateur Android (56+), (Chrome pour Android, Safari Mac 0.1+), Safari iOS (10.3+), amongst others.

Internet Explorer is not compatible