阻止所有混合内容

当前浏览器已经阻断活性混合内容（脚本）。我真正想要的是阻止包括图像在内的所有内容。

的目的，这是立即看到每一个违规的图像或文件作为坏了，但不是在地址栏中输入一个模棱两可的警告。

是否有一个跨浏览器的方式做到这一点？

2016-07-04 sanmai

的标准方法，严格禁止所有混合内容：block-all-mixed-content CSP directive。

最简单的例子，如果你没有设置其他CSP指令，因此只需要发送这个头：

Content-Security-Policy: block-all-mixed-content

因为不是每个浏览器支持该指令，它可能是可行的发送an extended header代替：

Content-Security-Policy: img-src https: data:

另一种选择是强制所有普通的http请求去通过https：

Content-Security-Policy: upgrade-insecure-requests

2016-07-04 03:34:00 sideshowbarker

不幸的是'block-all-mixed-content'在Firefox中不起作用，但是感谢您指出正确的方向。希望你不介意我的编辑。 – sanmai

为什么不混合这两个指令？ “Content-Security-Policy：block-all-mixed-content; img-src https：data：” – Tom

回答