为什么我的安全iframe被报告为不安全？

Question

我们有一个Glassfish 3实例在有效的SSL（Windows服务器）后面运行。

在我们的EAR文件中，我们有一个Vaadin应用程序与几个JSP（主要用于登录）混合使用。

现在，当我们登录时（这只是JSP页面上的简单HTTP POST），Google Chrome报告我们正在尝试加载不安全的内容。

因此，举例来说，我们的网址是：

https://test.example.com/app 

的由于Vaadin的工作方式和方法的应用程序是安装，它会自动重定向到：

https://test.example.com/app/ui 

的ui来自ui.jsp。现在，整个应用程序中的每个链接都是相对的。所以重定向使用：/ui.jsp。

但是，铬控制台报告：

[blocked] The page at 'https://test.example.com/app/ui` was loaded over HTTPS, but ran insecure content from 'http://test.example.com/app/ui.jsp': this content should also be loaded over HTTPS. 

整个应用程序在同一个WAR文件是在被部署到Glassfish的同一个应用程序相同的EAR文件。

它为什么认为内容不安全？

谢谢。

Answer 1

使用调试代理（如Fiddler），您将看到的是虽然主URL通过https提供;但通过http提供诸如图像，js或css文件之类的内容。

这将是因为您的页面在主页面中构建对这些资源的引用时指定了http协议。