meta - 如何使用content-security-policy元标记允许混合内容(带有https的HTTP)？

Question

我强迫https访问我的网站，但是某些内容必须通过http加载（例如，视频内容不能通过https），但是由于mixed-contents策略，浏览器会阻止该请求。

经过数小时的搜索，我发现我可以使用Content-Security-Policy，但是我不知道如何允许混合内容。

<meta http-equiv="Content-Security-Policy" content="????">

Answer 1

你不能

CSP可以限制您网站上的内容，而不是放宽浏览器限制。

安全的https站点为用户提供了一定的保证，然后允许在其上加载http内容是不公平的（因此出现了混合内容警告），如果您可以在未经用户同意的情况下隐藏这些警告，那实际上是不公平的。

您可以使用CSP来帮助迁移到https，例如：


您可以使用它自动将http请求升级为https（尽管浏览器支持并不普遍）。如果您错过了将http链接更改为等效的https的功能，这将有所帮助。但是，这假设资源可以通过https加载，并且听起来像您无法通过https加载资源，所以这不是一种选择。
您还可以使用CSP通过向服务（您可以监视该服务说可以尝试加载http资源）上报告一条消息来帮助您识别站点上丢失的任何http资源。这样，您可以识别并修复指向https的http链接，因此不必依赖上述自动升级。


但是，您并不是真正想要的东西。