阻止所有混合内容

Question

如何完全阻止任何混合内容加载？

当前的浏览器已经阻止了活动的混合内容(脚本).我真正想要的是阻止包括图像在内的所有内容.

这样做的目的是立即将每个违规图像或文件视为损坏,但不是地址栏中的模糊警告.

是否有跨浏览器的方式来做到这一点？

Answer 1

严格阻止所有混合内容的标准方法:block-all-mixed-contentCSP指令.

在最简单的情况下,如果您没有设置其他CSP指令,则只需发送此标头:

Content-Security-Policy: block-all-mixed-content

由于并非每个浏览器都支持此指令,因此发送扩展头可能是可行的:

Content-Security-Policy: img-src https: data:

其他选项是强制所有普通的http请求通过https:

Content-Security-Policy: upgrade-insecure-requests