如何排查 Apache HTTPS 环境下的资源引用安全问题-Apache-PHP中文网

https页面显示“连接不安全”大概率是存在混合内容，即http资源混入https页面；需通过浏览器控制台、security面板或在线工具定位http引用，并统一改为https或协议相对路径，再通过清除缓存、csp头及ci/cd扫描验证修复。

如何排查 apache https 环境下的资源引用安全问题

HTTPS 页面仍显示“连接不安全”，大概率不是证书没装好，而是页面里悄悄混入了 HTTP 资源——也就是混合内容（Mixed Content）。这类问题隐蔽性强，浏览器控制台常只报一两行警告，但足以触发全站降级为“不安全”状态。

检查混合内容是否真实存在

打开网页后按 F12，切换到 Console 或 Security 标签页：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

看到类似 “Mixed Content: The page at 'https://xxx' was loaded over HTTPS, but requested an insecure script/image/iframe…” 的提示，说明已确认存在混合内容
Chrome 的 Security 面板会直接列出所有被阻止的 HTTP 资源，并标注是主动型（Active）还是被动型（Passive）
用在线工具扫描整站：如 Why No Padlock? 或 Geopeg Mixed Content Scanner，可快速定位所有 HTTP 引用位置

定位并修复资源协议引用

常见 HTTP 源头包括静态文件、第三方脚本、API 接口、重定向跳转等：

HTML 中硬编码的 HTTP 链接：搜索 <img src="http://%E3%80%81<script%20src=?x-oss-process=image/resize,p_40" http:>、<code><link href="http://%20%E7%AD%89%EF%BC%8C%E7%BB%9F%E4%B8%80%E6%94%B9%E4%B8%BA%20https://%20%E6%88%96%E6%9B%B4%E7%A8%B3%E5%A6%A5%E7%9A%84%E5%8D%8F%E8%AE%AE%E7%9B%B8%E5%AF%B9%E5%86%99%E6%B3%95%20//example.com/path
PHP/%E6%A8%A1%E6%9D%BF%E4%B8%AD%E6%8B%BC%E6%8E%A5%E7%9A%84%20URL%EF%BC%9A%E6%A3%80%E6%9F%A5%20echo%20'http://'%20.%20%24_SERVER['HTTP_HOST']%20%E7%B1%BB%E9%80%BB%E8%BE%91%EF%BC%8C%E5%BA%94%E6%94%B9%E7%94%A8%20%24_SERVER['HTTPS']%20===%20'on'%20%E5%88%A4%E6%96%AD%E5%8D%8F%E8%AE%AE%EF%BC%8C%E6%88%96%E7%9B%B4%E6%8E%A5%E4%BD%BF%E7%94%A8%20location.protocol%20%E5%89%8D%E7%AB%AF%E5%88%A4%E6%96%AD
CDN%20%E6%88%96%E7%AC%AC%E4%B8%89%E6%96%B9%E6%9C%8D%E5%8A%A1%E6%9C%AA%E5%90%AF%E7%94%A8%20HTTPS%EF%BC%9A%E6%AF%94%E5%A6%82%E8%B0%83%E7%94%A8%E7%9A%84%E6%98%AF%20http://cdn.jsdelivr.net%EF%BC%8C%E9%9C%80%E7%A1%AE%E8%AE%A4%E8%AF%A5%20CDN%20%E6%98%AF%E5%90%A6%E6%94%AF%E6%8C%81%20HTTPS%EF%BC%9B%E8%8B%A5%E4%BB%85%E6%8F%90%E4%BE%9B%20HTTP%EF%BC%8C%E5%88%99%E5%BF%85%E9%A1%BB%E6%9B%B4%E6%8D%A2%E4%B8%BA%E6%94%AF%E6%8C%81%20HTTPS%20%E7%9A%84%E6%9C%8D%E5%8A%A1%E5%95%86%E6%88%96%E9%95%9C%E5%83%8F
%E5%90%8E%E7%AB%AF%20API%20%E8%BF%94%E5%9B%9E%E7%9A%84%E9%93%BE%E6%8E%A5%E5%90%AB%20HTTP%EF%BC%9A%E4%BE%8B%E5%A6%82%E6%96%87%E7%AB%A0%E5%86%85%E5%AE%B9%E5%AD%97%E6%AE%B5%E9%87%8C%E5%AD%98%E4%BA%86%20<img%20src=" http:>，需在输出前统一替换或在存储时强制转为相对路径

验证与预防机制

修复后不能只靠肉眼点开看，要建立可复现的验证闭环：

清除浏览器缓存 + 硬性刷新（Ctrl+Shift+R），再检查 Console 是否仍有混合内容警告
在 Apache 配置中添加响应头：Content-Security-Policy: block-all-mixed-content，让浏览器自动拦截任何残留的 HTTP 请求（注意：此头仅对新访问生效，不影响已加载页面）
在 CI/CD 流程中加入静态扫描：用 mixed-content-scan 工具对构建产物做自动化检测
将所有内部资源默认设为相对协议或绝对 HTTPS，避免在开发环境用 HTTP、上线才改，减少人为遗漏