javascript - 通过 https 包含 Javascript/CSS？

Question

我目前面临的问题是我想通过子域提供静态内容 static.mydomain.tld 但我的SSL 证书仅对我的主域 mydomain.tld

当使用 https 时，我应该通过安全连接包含我的 javascript、css 和图像，还是我仍然可以使用 http://static.mydomain.tld。

我会更改我的 javascript 以便 AJAX 请求在主域上使用 https。

或者我不应该使用子域并包含来自主域的文件吗？

(我正在考虑使用子域，因为我读到静态内容应该从不设置 cookie 的域提供)

谢谢!

Answer 1

Should I include my javascript, css and images over a secure connection when https is used

是的。否则它会被拦截和修改。替换的图像可能会向用户提供虚假数据。替换的 JS 和 CSS(因为 CSS 可以嵌入 JS)可以执行脚本并从安全环境中泄漏数据。

shouldn't I use the subdomain and include the files from the main domain?

这是一个选项。

您还可以为其他主机名获取另一个 SSL 证书。