时间戳

首页 > 解决方案 > 来自安全页面的不安全 XMLHttpRequest 调用

browser - 来自安全页面的不安全 XMLHttpRequest 调用

问题描述

在我们公司，我们需要实现一个自托管的 Rest 服务，该服务必须部署在客户端工作站中，以便我们的内部 Web 应用程序与它们进行交互。Web 应用程序位于 https 中，目前我们没有使用 CSP 标头。

我们关心的是是否有必要在 https 中调用本地服务，或者这可以避免（因此我们可以避免管理证书以部署在每个工作站中）。

我们对 Chrome 和 Edge 进行了一些试验，似乎 ajax 调用也可以在普通 http 中工作，但我们想知道这是否真的受支持。目前，我们的内部 Web 应用程序未使用内容安全策略标头。

谢谢！

标签： browserxmlhttprequestcontent-security-policy

解决方案

在 HTTPS 连接上，浏览器会将 HTTP 内容作为混合内容阻止，CSP 不会改变这一点。但是，Chrome 将允许在http://127.0.0.1和http://localhost上混合内容，而 Firefox 将允许在http://127.0.0.1上混合内容，请参阅https://developer.mozilla.org/en-上的注释美国/docs/Web/Security/Mixed_content。

当您实现 CSP 时，您应该为相应的指令包含http://127.0.0.1（或http://localhost ）。

推荐阅读