一、对普通用户（访问网站时遇到警告）

当您访问一个主要通过 HTTPS 连接的网站，但该网站试图通过不安全的 HTTP 加载部分资源（如图片、脚本、视频、样式表等）时，就会发生“混合内容”，Chrome 会阻止不安全的 HTTP 内容，以保护您免受窃听或篡改攻击。

识别混合内容：

• 地址栏显示“不安全”：在 HTTPS 网站的地址栏中，如果出现“不安全”字样，通常就是因为存在混合内容。
• 盾牌图标：在地址栏最右侧，可能会显示一个灰色的盾牌图标，点击它可以查看详细信息。

如何临时加载被阻止的内容（不推荐，仅在信任该网站时使用）： 如果您确认当前访问的网站是可信的（例如一个内部网站或个人项目），并且需要加载被阻止的内容以使其功能正常，您可以临时允许加载。

• 在电脑上：

  1. 点击地址栏右侧的 盾牌图标。
  2. 在弹出的菜单中,点击 “加载不安全的脚本” 或 “加载不安全的内容”。
  3. 页面会刷新,并临时允许该站点的混合内容。

• 在手机/平板（Android/iOS）上：

  1. 点击地址栏右侧的 “三点菜单” 图标。
  2. 向下滚动并点击 “设置”。
  3. 进入 “隐私和安全” 或 “网站设置”。
  4. 找到 “不安全内容” 选项。
  5. 默认是“默认屏蔽（推荐）”，您可以针对特定站点，选择“允许”（但非常不推荐，这会降低您的安全性）。

重要提醒：允许混合内容会使您在该页面上面临潜在的风险（如会话劫持、内容篡改、cookie 窃取等），请仅在您完全理解风险并信任该网站时进行此操作，刷新页面或关闭标签页后，此设置可能会被重置。

对网站管理员/开发者（修复混合内容问题）

如果您是网站所有者或开发者,发现您的网站被 Chrome 阻止了内容，您应该从根本上修复这个问题，以确保所有用户的安全。

根本解决方案：将所有内容升级为 HTTPS。

识别所有混合内容：

• 使用 Chrome 开发者工具。
• 按 F12 或 Ctrl+Shift+I 打开。
• 切换到 “控制台” 面板，所有被阻止的混合内容请求都会显示红色的错误警告，并明确标出资源的 URL。
• 切换到 “安全” 面板（在开发者工具中，可能需要点击 >> 图标找到），它会清晰地展示当前页面的安全状态和混合内容的详细列表。

更新资源链接：

• 将网页源代码（HTML、CSS、JavaScript）中所有以 http:// 开头的 绝对链接，改为 https://。

• 示例：

  <!-- 错误（混合内容） -->
  <script src="http://example.com/script.js"></script>
  <img src="http://another-site.com/image.jpg" />
  <!-- 正确 -->
  <script src="https://example.com/script.js"></script>
  <img src="https://another-site.com/image.jpg" />

• 最佳实践是使用 协议相对URL，但这在现代最佳实践中已逐渐被完全使用 HTTPS 取代，更推荐直接使用完整的 https:// 链接。

  <!-- 协议相对（已不推荐用于新项目） -->
  <script src="//example.com/script.js"></script>

检查第三方资源：

• 确保您引用的所有第三方库（如 jQuery、Bootstrap、Google Fonts、统计代码等）都使用其 HTTPS 版本 的链接，主流服务都提供了 HTTPS 支持。

更新后端请求：

• 检查网页中的 AJAX/Fetch 请求（API 调用），确保它们的目标地址也是 HTTPS。

安全策略头（CSP）：

• 这是一种高级安全功能,可以在服务器响应头中添加 Content-Security-Policy 来指示浏览器只加载来自特定安全来源的资源。
• 它可以主动阻止混合内容,并提供报告机制。
• 一个基础的 CSP 指令来阻止所有混合内容是：

  Content-Security-Policy: block-all-mixed-content

获取全面的 SSL/TLS 证书：

• 确保您的服务器为所有子域名都配置了有效的 SSL 证书，如果您有来自 http://assets.yoursite.com 的内容，assets.yoursite.com 也需要支持 HTTPS。

测试修复结果：

• 修复后,使用 Chrome 开发者工具的 “安全” 面板进行验证。
• 使用在线工具,如 Why No Padlock? 或 SSL Labs Server Test 来深度扫描您的网站，找出可能遗漏的混合内容问题。

对于用户来说,最好的做法是看到混合内容警告时，不要轻易允许，而是尝试联系该网站的管理员，告知其网站存在安全隐患，促使其修复。