安全页面上 iframe 中的不安全内容

Question

我正在为客户端开发一个应用程序，该应用程序将具有 SSL 证书并在 https 下提供服务。然而，为了与现有网站集成，他们希望在 iframe 内提供导航。

我可以看到这会造成麻烦，因为我希望浏览器会抱怨页面上混合了安全和不安全的内容。我在这里查看了类似的问题，它们似乎都以相反的方式提到了这一点（iframe 中的安全内容）。

那么，我想知道的是：将不安全的内容包含在 iframe 中并放置在安全页面上是否会导致问题，如果是的话，它们会是什么类型的问题？

理想情况下，如果这不是一个好主意（我强烈感觉它不是），我需要能够向客户解释这一点。

Answer 1

如果您的页面是 http，那么它允许带有 https 内容的 iframe。

但如果您的页面是 https，则它不允许 http 内容。

让我们列出以下可能性。

page - iframe - status

http - http  - allowed
http - https - allowed
https- http  - not allowed
https- https - allowed

Answer 2

如果使用 https://www.example.com/main/index.jsp (SSL) 访问您的页面，那么您的浏览器将抱怨“此页面包含安全和不安全的项目”（如果有）是 HTML 代码中通过 http://（非 SSL）引用的任何资源。这包括 iframe。

如果您的导航页面托管在同一服务器上，那么您可以使用这样的相对 URL 来防止“不安全内容”消息...

<iframe src="/app/navigation.jsp" />

从您的问题来看，听起来您的导航页面是由单独的主机提供的，并且您是被迫使用类似的东西，

<iframe src="http://otherserver.example.com/app/navigation.jsp" />

这当然会导致浏览器中出现“不安全内容”消息。

您唯一的解决方案是

1. 在保存导航页面的服务器上实施 SSL，以便您可以使用 https:// 作为 iframe 参考，或者

2. 将导航应用程序移动到同一服务器，以便您可以使用相对 URL。

就我个人而言，我不明白为什么你的导航会在不同的主机上，因为那样你就会遇到 JavaScript 跨域脚本问题（除非涉及一些时髦的 JSONP）。

Answer 3

尝试删除 src 属性值中的 http: 字符，如下所示：

<iframe src="//example.com/thefile.htm"></iframe>

这当然是一种解决方法，安全性很重要，所以不要轻率地绕过，但无论如何，这曾经让我解决了类似的问题。