CSP 设置了 block-all-mixed-content 为啥 HTTPS 页面还是加载了 HTTP 资源？
我最近在项目里加了 CSP 头，设置了 Content-Security-Policy: block-all-mixed-content，但奇怪的是，页面在 HTTPS 下居然还能加载一个 HTTP 的图片资源，浏览器也没报错。不是说这个指令会自动阻止所有混合内容吗？是不是我哪里理解错了？
我的 HTML 里确实引用了一个 http:// 的图片，代码如下：
<img src="http://example.com/image.jpg" alt="test">
<meta http-equiv="Content-Security-Policy" content="block-all-mixed-content">
试过把 meta 标签放 head 里、也试过用服务器响应头设置 CSP，结果都一样，图片照样加载……这到底怎么回事？
- 2
回答
66浏览
为什么我的HTTPS页面加载时显示Mixed Content错误？
我在开发一个HTTPS网站时，发现用JavaScript请求HTTP接口会报Mixed Content错误。明明服务器已经配置了SSL证书，为什么还是不行？ 比如这个请求代码： fetch('...
- 1
回答
74浏览
Vue移动端HTTPS页面请求http接口导致Mixed Content错误怎么办？
我在开发Vue移动端应用时遇到了HTTPS问题，当页面切换到HTTPS后，调用本地测试接口时控制台报Mixed Content错误。尝试过在nginx配置强制HTTPS，但真机测试还是加载失败。 代码...
- 2
回答
48浏览
Security面板显示Mixed Content警告，但HTTPS配置没问题？
我在React项目里引用了HTTPS图片和CSS，但Chrome Security面板一直提示Mixed Content警告。明明检查过所有资源链接都是https://的，这是为什么？ import ...
- 2
回答
58浏览
为什么我的HTTPS页面加载图片时出现Mixed Content错误？
最近在开发一个电商页面，把网站部署成HTTPS后，发现图片加载失败了。控制台提示：Mixed Content 错误，但图片路径明明写对了啊！ 代码是这样写的：<img src="http://e...
- 2
回答
120浏览
为什么我的网站在HTTPS下样式加载不正常？
我刚把网站从HTTP迁移到HTTPS，结果发现部分CSS样式没生效，控制台还报混合内容（Mixed Content）警告。我检查了所有资源链接，但还是搞不清哪里出问题了。 比如下面这段CSS，本地开发...
- 2
回答
180浏览
为什么我的图片在Security面板显示Mixed Content警告？
我刚把网站部署到HTTPS服务器，但Chrome Security面板一直提示Mixed Content错误，显示我的图片资源用了HTTP链接。我明明把标签的src改成了https://开头的地址，为...
- 2
回答
32浏览
React部署到HTTPS后为什么出现混合内容警告？
最近把React项目部署到HTTPS服务器后，页面加载时老是报“Mixed Content”错误。明明所有资源路径都用了相对地址，但控制台还是提示标签引用了HTTP资源。我检查了public文件夹里的...
- 1
回答
44浏览
启用HTTPS后CSS样式加载失败怎么办？
我最近给项目配置了HTTPS，但页面样式突然全乱了。检查发现CSS文件加载失败，控制台提示“Mixed Content错误”。我用了绝对路径引用CSS： /* style.css */ body { ...
- 2
回答
28浏览
设置了Secure标志的Cookie为什么在HTTPS页面读取不到？
我按照文档配置了服务器返回的Cookie携带Secure标志，但发现HTTPS页面始终无法通过document.cookie获取到该Cookie。明明在开发者工具的Network标签里看到响应头确实有...
- 2
回答
39浏览
CSP设置后图片资源被阻止，如何排查？
最近给项目加CSP头时发现图片加载失败，控制台提示"Blocked ... source of 'http://...' isn't listed"。我试过在标签用nonce和在CSP头添加，但问题依...
block-all-mixed-content 这个指令在 meta 标签里设置的话，浏览器根本不买账——Chrome 从 2015 年左右就开始忽略 meta 标签里的这个指令了，只有服务器响应头设置的才生效。
而且更坑的是，这个指令已经被标记为弃用，现代浏览器推荐用 upgrade-insecure-requests 代替。
你用服务器头设置还是不行的话，检查一下是不是有缓存，或者试试下面这个：
通过 .htaccess（Apache）设置：
或者同时加两个保险：
Nginx 的话：
设置完记得清浏览器缓存，然后强制刷新（Ctrl+Shift+R）。
如果你实在不想改服务器配置，meta 标签也不是完全没用，可以试试：
这个在大多数现代浏览器里 meta 标签是支持的，比 block-all-mixed-content 靠谱多了。
总结一下：block-all-mixed-content + meta 标签 = 没用，服务器响应头 + upgrade-insecure-requests = 稳。