java - 为什么我的安全 iframe 被报告为不安全？

Question

我们有一个在有效 SSL (Windows Server) 后运行的 Glassfish 3 实例。

在我们的 EAR 文件中，我们有一个 Vaadin 应用程序，它混合了几个 JSP(主要用于登录)。

现在，当我们登录时(这只是 JSP 页面上的简单 HTTP POST)，Google Chrome 报告我们正在尝试加载不安全的内容。

因此，例如，我们的 URL 将是:

https://test.example.com/app

由于 Vaadin 的工作方式和应用程序的设置方式，它将自动重定向到:

https://test.example.com/app/ui

ui 来自ui.jsp。现在，整个应用程序中的每个链接都是相对的。所以重定向使用:/ui.jsp。

但是，Chrome 控制台报告:

[blocked] The page at 'https://test.example.com/app/ui` was loaded over HTTPS, but ran insecure content from 'http://test.example.com/app/ui.jsp': this content should also be loaded over HTTPS.

整个应用程序位于同一个 WAR 文件中，该文件位于同一个 EAR 文件中，该文件部署到 Glassfish 中的同一个应用程序。

为什么它认为内容不安全？

谢谢。

Answer 1

使用诸如 Fiddler 之类的调试代理，您将看到虽然主 URL 是通过 https 提供的；但图像、js 或 css 文件等内容是通过 http 提供的。

这是因为您的页面在主页中构建对这些资源的引用时指定了 http 协议(protocol)。