layui upload在https页面上传失败，90%是因浏览器静默拦截混合内容：页面为https但上传请求发往http地址，导致请求被拦、状态码为0或net::err_insecure_response，network面板显示blocked:mixed-content；需确保upload.render的url为绝对https地址、反向代理透传x-forwarded-proto头、服务端cors响应头精确匹配源且支持credentials。
https 页面里 layui.upload 上传失败，90% 是浏览器静默拦截混合内容——页面是 https，但上传请求发到了 http 地址，请求直接被拦掉，连 error 回调都不触发，只看到状态码 0 或 net::err_insecure_response。
检查 Network 面板是否标为 blocked:mixed-content
打开浏览器开发者工具 → Network 标签页 → 点击上传触发请求 → 查看该请求的状态列。如果显示 blocked:mixed-content，说明问题已定位：前端发出了 HTTP 请求。
- 不要只看控制台有没有报错，这个拦截不抛 JS 异常，
error回调可能根本不会执行 - 确认
url参数不是相对路径（如"/upload"）或硬编码的"http://..." - 哪怕页面是 HTTPS，相对路径仍会继承协议；若服务端有重定向（比如 HTTP → HTTPS），中间环节也可能降级
确保 upload.render 的 url 是绝对 HTTPS 地址
url 必须显式写成完整 HTTPS URL，不能依赖协议继承。
- ✅ 正确：
url: "https://api.example.com/upload" - ❌ 危险：
url: "/upload"（看似安全，但重定向链中出问题就失效） - ❌ 错误：
url: "http://api.example.com/upload"（直接被拦） - 如果域名动态拼接，检查变量值是否含
http://前缀，尤其注意本地调试时用的 mock 地址
反向代理（如 Nginx）必须透传 X-Forwarded-Proto
后端服务本身可能跑在 HTTP 端口（如 http://127.0.0.1:8080），靠 Nginx 终结 SSL。若没透传协议头，后端生成跳转链接或校验时可能误判为 HTTP，导致 301 重定向回 HTTP，触发二次混合内容拦截。
- Nginx 配置中必须包含：
proxy_set_header X-Forwarded-Proto $scheme; - Spring Boot 用户需确认
server.forward-headers-strategy=framework已启用，并配置信任代理 IP - Node.js + Express 用户应使用
app.set('trust proxy', 1)并检查req.protocol是否为https
服务端响应头要匹配 withCredentials 需求
如果你用了 headers 传 token 或启用了 withCredentials: true（比如需要带 Cookie 登录态），CORS 头就不能用通配符 *。
- 必须返回精确的源：
Access-Control-Allow-Origin: https://your-domain.com - 必须返回：
Access-Control-Allow-Credentials: true -
Access-Control-Allow-Headers要包含你自定义的 header 字段名（如access_token） - 注意：Chrome 对
Access-Control-Allow-Origin和Access-Control-Allow-Credentials同时存在时校验极严，漏一个字符都失败
最易被忽略的是 Nginx 的 X-Forwarded-Proto 和后端对它的实际消费——很多框架默认忽略这个头，或只在特定配置下才读取，不验证就认为“反正我监听的是 443”，结果悄悄跳了 HTTP 重定向。
