Kullanıcı, karışık içerik uyarıları olmadan bir HTTPS sitesinde görüntülere katkıda bulundu

Çoğu forumda olduğu gibi kullanıcıların resim gönderebileceği bir forumum var. Sitede HTTPS kurdum, ancak elbette çoğu harici görüntü HTTPS değil, HTTP kullanılarak bağlanıyor. Bu yüzden forumu HTTPS üzerinden yüklemek karışık içerik uyarıları vb. Gösterir.

Bu sorunun üstesinden gelmek için bazı stratejiler nelerdir? Bazı resimler kendi sitemden, bu yüzden çalışacağını bildiğim için bu URL'leri HTTPS kullanmak için yeniden yazabilirim. Ancak harici URL'ler için çoğu HTTPS ile çalışmaz, bu yüzden bir battaniye yeniden yazamam.

Güvenli olmayan görüntüleri satır içi görüntüler yerine bağlantılara yeniden yazabilirim, ancak bu harika görünmüyor ve kullanıcılar için kafa karıştırıcı olabilir. Daha iyi çözümler var mı?

https images

— DisgruntledGoat
kaynak

Camo kullanabilirsiniz …

— wb9688 18:16

Google bunu resim araması için çözmedi. Görsel arama "güvenli değil:" i.imgur.com/8XVTQsi.png

— Stephen Ostermiller

Ayrıca bkz. StackOverflow: HTTPS sayfalarında HTTP içeriğiyle ilgilenme

— Stephen Ostermiller

Daha iyi bilmiyorum ve telif hakkı mevzuatı ile ilgili olabilir, ancak teknik bir çözüm, resmin bir kopyasını oluşturmak ve HTTPS üzerinden kontrolünüz altındaki bir alandan hizmet etmek olacaktır ...

— CVn

Zavallı adamın yolu: Kaydet / düzenle üzerine src="http://someimage.jpg", göreli olarak yapılandırılmış olması gereken tüm verileri yeniden yazmak için mantık uygulayabilirsiniz src="//someimage.jpg"... veya sadece doğrulayabilirsiniz. Sıkı yeşil bir kilit istiyorsanız (güvensiz bir görüntü kilidinizi kazanamayacaksa) HSTS'yi uygular. Ardından editör arayüzünde resimlerin şu anda HTTPS aracılığıyla kullanılabilir olması gerektiğini unutmayın, aksi takdirde hiç görünmezler. "Hata! Hata yaptınız. Kötüye kullanımı ve MITM saldırılarını önlemek için tüm ortamların HTTPS kullanması gerekir. Geri dönüp düzeltin veya başka bir görüntü sağlayıcısı seçin."

— dhaupin

Yanıtlar:

Güvenli bir sayfada güvenli olmayan kaynaklara sahip olmak ve karma içerik uyarısı almak mümkün değildir.

Onu destekleyen kullanıcı aracıları için upgrade-insecure-requestsyönerge, kaynağı https üzerinden yüklemeyi denemek veya denemede başarısız olmak için bir talimattır.

Diğer kullanıcı aracıları güvensiz kaynakları yüklemeye devam ederek direktifi göz ardı edecektir.

Google Developers sitesinde bu ve diğer seçenekleri tartışan bir makale.

— Robert K. Bell
kaynak

Çözümümü hiç yayınlamadığımı fark ettim. Stephen'ın yorumunda verilen cevap benim için onu çözdü. Kısacası, aşağıdakileri yapan bir proxy komut dosyası oluşturdum:

Görüntü https ise, yalnız bırakın.
Resim http ise ve https'yi desteklediği bilinen bir siteden (ör. Kendi sitem, imgur.com vb.) Geliyorsa, https'ye yeniden yazın.
Aksi takdirde görüntü http ise kullanmak için yeniden yazın http://example.com/imgproxy?img=ORIGINALURL&hash=KEY

Ardından proxy komut dosyası HTTP görüntüsünü alır, yerel olarak önbelleğe alır ve görüntü verilerini çıkarır. Tekrarlanan istekler üzerine önbelleğe alınan verileri doğrudan çıktılar. Bağlantılı SO yanıtı, güvenlik karmasını ve diğer ayrıntıları açıklar.

— DisgruntledGoat
kaynak