java - 论坛设计的混合内容警告

Question

我目前正在我的本地主机上设计一个社交网络，它也涉及到一个论坛方面。用户可以在网站上做的三件事让我有些担心。

1. 通过网站上任何页面的标题登录到他们的个人资料。
2. 在他们的墙上张贴包含外部网站链接的内容。
3. 在论坛中发布各种不同的内容，包括指向外部网站的链接和外部网站上的图片。

因为#1，我将整个网站设为 https。因此，无论用户在网站的哪个位置，他们都可以登录，并且他们的整个 session 都将被加密。此功能运行良好，但我担心混合内容警告。

现在我正在考虑如何使整个站点安全 b/c 如果我保持这种方式，是否会为每个链接到外部站点或来自外部站点的图像的页面显示混合内容警告？不幸的是，我从未见过此警告 b/c 我使用的浏览器似乎都没有向我显示。我搜索了某种显示此警告的浏览器列表，但找不到有限的列表。所以这很尴尬 b/c 我正在担心并试图避免我从未见过的事情。但是我想到了一个解决方案。

我目前关于如何解决图像问题的想法是在用户发帖时从他们那里获取图像并将其写入我的磁盘，并提供新的图像链接。我很确定这正是谷歌图片在显示来自 http 站点的数百万张图片时保持 https 的方式。我认为他们将它们全部写入自己的服务器。示例:

https://encrypted-tbn3.gstatic.com/images?q=tbn:ANd9GcTj_52I-TSX79mQFJRLTDNGahtGbsh_BpYDp0H3hbzJDWK2qxPZ

所以我想我已经找到了图像问题的解决方案，但是外部链接呢？因为当用户在他们的墙上发布指向 https://stackoverflow.com/ 的链接时例如，我阅读了这篇文章并用 anchor 标记将其包围起来，所以从技术上讲，对于浏览器来说，这不是安全内容吗？那不会发出警告吗？

我怎样才能解决这个问题而不惹恼我的用户？你对我的图像问题有更好的解决方案吗？感谢大家看完我的困惑。

Answer 1

链接一般都可以。它们不会仅仅通过将它们包含在页面中而产生任何警告。单击时它们可以执行以下操作:当页面从 HTTPS 导航到 HTTP 时，某些浏览器会显示警告。但在那种情况下，默认设置是“不再显示此警告”，因此几乎每个人都会在浏览的第一天点击它，并且再也不会看到它。

检测用户提供的图像链接，在后期获取它们，然后重新提供它们是可行的，但是需要做很多工作(我认为我没有看到其他论坛这样做)并且有一些安全注意事项 - 例如，您希望从单独的域提供图像以避免 XSS 内容嗅探问题(就像谷歌对 gstatic.com 所做的那样)，并设置限制以避免巨大的导致拒绝服务的图片。

剩下的情况是 iframe 嵌入，一些用户可能希望将其发布到例如 YouTube 视频中。在这里，您可以将 iframe 源限制为支持 HTTPS 的已知良好服务。