2016-05-05 11 views
11

मैं अपनी वेबसाइट तक पहुंचने के लिए https पर मजबूर कर रहा हूं, लेकिन कुछ सामग्री http से अधिक लोड होनी चाहिए (उदाहरण के लिए वीडियो सामग्री https से अधिक नहीं हो सकती है), लेकिन ब्राउज़र mixed-contents नीति के कारण अनुरोध को अवरुद्ध करते हैं।सामग्री-सुरक्षा-नीति मेटा टैग का उपयोग करके मिश्रित सामग्री (https के साथ http) की अनुमति कैसे दे सकता हूं?

खोज के घंटों के बाद मुझे पता चला कि मैं सामग्री-सुरक्षा-नीति का उपयोग कर सकता हूं लेकिन मुझे नहीं पता कि मिश्रित सामग्री को इसके साथ कैसे अनुमति दें।

<meta http-equiv="Content-Security-Policy" content="????"> 

उत्तर

10

आप नहीं कर सकते।

सीएसपी आपकी वेबसाइट पर सामग्री को प्रतिबंधित करने के लिए है, ब्राउज़र प्रतिबंधों को ढीला नहीं करने के लिए।

उपयोगकर्ताओं को कुछ गारंटी प्रदान करने वाली सुरक्षित https साइटें और यह वास्तव में उचित नहीं है कि http सामग्री को उस पर लोड किया जा सके (इसलिए मिश्रित सामग्री चेतावनियां) और वास्तव में उचित नहीं है अगर आप इन चेतावनियों को बिना किसी उपयोगकर्ता सहमति के छुपा सकते हैं।

उदाहरण के लिए आप https पर एक प्रवास सहायता करने के लिए चीजों की एक जोड़ी के लिए सीएसपी का उपयोग कर सकते हैं:

  1. आप स्वचालित रूप से https पर http अनुरोध उन्नत करने के लिए (हालांकि ब्राउज़र समर्थन सार्वभौमिक नहीं है) उपयोग कर सकते हैं । इससे आपको एचटीएमएल समकक्ष में एचटीएमएल लिंक बदलने से चूकने में मदद मिलती है। हालांकि यह मानता है कि संसाधन को https पर लोड किया जा सकता है और लगता है जैसे आप उन्हें https पर लोड नहीं कर सकते हैं, इसलिए यह कोई विकल्प नहीं है।

  2. आप सीएसपी का उपयोग भी कर सकते हैं ताकि आपको उस साइट पर किसी भी http संसाधन की पहचान करने में मदद मिल सके जो आप किसी सेवा को संदेश भेजकर याद करते हैं जिसे आप http संसाधन को लोड करने का प्रयास कर सकते हैं। यह आपको HTTP लिंक को https से पहचानने और ठीक करने की अनुमति देता है ताकि आपको उपर्युक्त स्वचालित अपग्रेड पर निर्भर न हो।

लेकिन न ही आप वास्तव में क्या देख रहे हैं।

+0

क्या मूल प्रतिक्रिया शीर्षलेख के माध्यम से सुरक्षा को कम किया जा सकता है? मैं मेटा टैग में देख रहा था क्योंकि इसे जोड़ने में आसान लग रहा था। –

+0

नहीं। यह केवल सुरक्षा नीति को कसने के लिए उपयोग किया जाता है - इसे ढीला नहीं करता है। जैसा कि मेरे उत्तर में बताया गया है। –

1

आपको नहीं करना चाहिए ... लेकिन आप कर सकते हैं, यह सुविधा here प्रदर्शित होती है जो एक HTTP पीएनजी छवि को ऑन-द-फ्लाई को HTTPS में परिवर्तित करती है।

<meta http-equiv="Content-Security-Policy" content="upgrade-insecure-requests"> 

वहाँ भी एक नया अनुमतियों एपीआई, described here, एक वेब सर्वर जियोलोकेशन, धक्का, अधिसूचना और वेब MIDI जैसी सुविधाओं के लिए उपयोगकर्ता की अनुमतियां जांचने के लिए अनुमति देता है कि है।

संबंधित मुद्दे