混合內容，內容安​​全策略和散列源

Question

我想在HTTPS頁面內打開HTTP Iframe。當然，這通常不可能，因爲它會觸發「混合內容」違規行爲。

有什麼方法可以繞過使用「內容安全策略」和散列源的混合內容塊嗎？

實施例：

• http://mysite/my-frame.html具有sha256-xxxyyy....zzz

• https://mysite/index.html將與Content-Security-Policy頭如下送達的SHA-256哈希（或內聯一個equivalente <meta>標籤），只要CORS標頭：

  • Content-Security-Policy: frame-src sha256-xxxxyyyy....zzz

• https://mysite/index.html包括<iframe src='http://mysite/my-frame.html'>

將這項工作？有沒有其他的方法可以做到這一點。

note：沒有upgrade-insecure-requests將不起作用，因爲該頁面是一個導航請求，並且該框架必須由HTTP提供服務。

Answer 1

沒有，有沒有辦法繞過現代瀏覽器中的安全塊（從Firefox 23，鉻14，IE9開始）

值得慶幸的是，大部分現代瀏覽器默認

阻止這種類型的危險內容

ref：https://developers.google.com/web/fundamentals/security/prevent-mixed-content/what-is-mixed-content#mixed-content-types--security-threats-associated