混合内容扫描

混合内容扫描检查 HTTPS 页面里还有没有通过 http:// 加载的资源。输入完整的页面网址，点 扫描页面，工具会列出每个不安全的脚本、样式表、图片、iframe 和表单地址，并单独统计会被浏览器拦截的主动内容。

怎么用

1. 输入页面网址，比如 https://example.com/blog/。不同模板的页面都要测：首页、文章页、商品页、下单页。
2. 点 扫描页面。
3. 逐个修改列出的地址，再扫一遍。

主动与被动混合内容

• 主动内容能改变整个页面：脚本、样式表、iframe、字体、fetch/XHR 请求。浏览器会直接拦截，功能就坏了。
• 被动内容只是显示，不能改页面：图片、音频、视频。新版 Chrome 和 Firefox 会先尝试用 HTTPS 加载，失败就拦截；无论哪种情况，页面都不再算“安全”。

怎么修

1. 把模板、主题、数据库里写死的 http:// 改成 https://（自己站内的文件可以用相对地址）。WordPress 之类的站点，换域名或上 HTTPS 后数据库里经常残留旧地址。
2. 第三方资源（统计代码、广告、图床、老 CDN）确认支持 HTTPS，不支持就换掉。
3. 兜底：返回响应头 Content-Security-Policy: upgrade-insecure-requests。
4. 全站干净之后，开启 HSTS，浏览器就再也不会发明文请求。

扫描只读取服务器返回的 HTML，不执行 JavaScript。单页应用还要在浏览器控制台里看混合内容警告。