chrome会直接拦截https页面中的http资源并报blocked:mixed-content错误；需通过开发者工具network标签页筛选mixed content定位问题来源；临时调试可点击地址栏锁图标启用不安全内容；彻底修复需全量替换http为https、添加upgrade-insecure-requests csp头或后端动态生成协议感知链接。
当你在谷歌浏览器中打开一个 HTTPS 网站，却看到图片不显示、样式错乱、脚本失效或控制台报 blocked:mixed-content 错误，说明页面正试图加载 HTTP 协议的资源——Chrome 已硬性拦截这些请求，根本不会发出，不是警告而是直接阻断。
快速定位哪条资源被拦了
按 F12 打开开发者工具 → 切到 Network 标签页 → 刷新页面 → 在 Filter 输入框输入 Mixed Content → 查看列表中 Status 显示为 blocked:mixed-content 的那一行。
点开该请求，看 Initiator 列：如果是 HTML 文件，说明是 <img src="http://...?x-oss-process=image/resize,p_40"> 这类标签写死了 HTTP；如果是 JS 文件，说明是 fetch('http://...') 或 new Image().src = 'http://...' 动态拼的地址。
【关键前提】必须先定位，否则改错地方会浪费时间甚至引发新问题。
临时允许当前页面加载不安全内容（仅调试用）
点击地址栏左侧锁形图标 → 点“网站设置” → 拉到底部找到“不安全内容” → 将其设为“允许” → 关闭窗口 → 刷新页面。
注意：该设置仅对当前域名生效，且隐私模式下无效；切勿在生产环境或公共电脑上长期启用。
彻底修复混合内容的三种方法
方法一：全量替换 HTTP 为 HTTPS（推荐）
全局搜索项目中的 src="http://、href="http://、url(http://（含 CSS 文件），逐个改为 https://。第三方资源如 jQuery、Google Fonts、微信 JS-SDK 等，优先使用官方 HTTPS 地址；若对方不提供 HTTPS，必须换源或本地托管。
方法二：加 meta 头自动升级协议
在 HTML 的 内插入：<meta http-equiv="Content-Security-Policy" content="upgrade-insecure-requests">
该策略会让浏览器自动把所有主动请求（fetch、script、img、link）的 HTTP 升级为 HTTPS，但无法修复 document.write 或 innerHTML 插入的 HTTP 字符串。
方法三：后端动态生成协议感知链接
PHP 中检查 $_SERVER['HTTPS'] === 'on'；Thymeleaf 用 @{/xxx}；Jinja 用 url_for()；避免模板里硬编码 http:// 前缀。后端拼接的 API 地址、文件下载链接、iframe src 同样适用此原则。
