javascript - 简单的 CORS 不起作用(即使它应该)

Question

我正在尝试破解我的后端，它公开了一个 REST API。根据 firefox CORS 策略，我的数据库可能发生的最糟糕的事情是我可以使用 POST 请求创建一个新对象，因为它不需要预检。这是简单的代码(我通过 jsfiddle 运行它，但它不应该有任何意义)

var xhttp = new XMLHttpRequest();
xhttp.open("POST", "http://127.0.0.1:8000/api/v1/company", true);
xhttp.withCredentials = true;
xhttp.setRequestHeader('Content-Type', 'text/plain');
xhttp.send('{description:"This company was added by pure hacking"}');

但是我在控制台中收到一个错误:

Blocked loading mixed active content "http://127.0.0.1:8000/api/v1/company"

Answer 1

错误不是因为SOP，它是一个混合内容错误，即在https页面上发出http请求。
jsfiddle 默认为 https 但允许 http，但仅限于保存的 fiddle 。

将 fiddle 的 url 更改为使用 http 而不是 https