为什么我的安全iframe被报告为不安全？

Question

我们在有效的SSL（Windows Server）后面运行Glassfish 3实例。

在我们的EAR文件中，我们有一个Vaadin应用程序与一些JSP混合（主要用于登录）。

现在，当我们登录时（这只是JSP页面上的一个简单的HTTP POST），Google Chrome正在报告我们正在尝试加载不安全的内容。

因此，例如，我们的网址为：

https://test.example.com/app

由于Vaadin的工作方式和应用程序的设置方式，它会自动重定向到：

https://test.example.com/app/ui

ui来自ui.jsp。现在，整个应用程序中的每个链接都是相对的。因此，重定向使用：/ui.jsp。

但是，Chrome控制台会报告：

[blocked] The page at 'https://test.example.com/app/ui` was loaded over HTTPS, but ran insecure content from 'http://test.example.com/app/ui.jsp': this content should also be loaded over HTTPS.

整个应用程序位于同一WAR文件中，该文件位于Glassfish中同一应用程序中的同一EAR文件中。

为什么它认为内容不安全？

感谢。

Answer 1

使用调试代理，如Fiddler，你会看到虽然主要的URL是通过https提供的;但是图像，js或css文件等内容通过http提供。

这是因为您的页面在主页面中构建对这些资源的引用时指定了http协议。