Chrome安全小组近日在一篇博客文章中表示，计划使https://页面不再加载HTTP子资源。
根据Google的说法，Chrome用户现在在所有主要平台上的HTTPS 上花费了90%以上的浏览时间。但是，那些安全页面加载不安全的HTTP子资源却是很常见的。这些子资源中的许多默认情况下都是被阻止的，但有些会作为图像、音频和视频或“混合内容”潜入，混合内容可能会使用户面临风险，比如脚本、iframe与媒体文件。
从今年12月开始测试的 Chrome 79开始，Chrome将会逐步阻止所有混合内容。到2020年1月，Chrome 80会将所有混合音频和视频资源自动升级为HTTPS，如果无法通过HTTPS加载，则将自动被阻止。最终，在2020年2月，Chrome 81将所有混合图像、音频与视频自动升级为HTTPS，并且阻止那些无法通过HTTPS加载的图像。
同时，Chrome 79中还将添加一个新设置项，用户可以用来取消阻止特定站点上的混合内容。
这样的过渡使开发人员有时间将其混合内容迁移到HTTPS上。
类似的措施，此前我们报导过，谷歌Chrome工程师Emily Stark已经在 W3C邮件列表上提出，计划在HTTPS网站上默认禁止一些通过HTTP下载的行为，当涉及到下载EXE、DMG、CRX（Chrome扩展包）与诸如ZIP、GZIP、BZIP、TAR、RAR和 7Z等主流压缩/打包文件时，浏览器将阻止下载。默认阻止下载的这些文件类型被认为是“高风险”的，因为它们最有可能被滥用来隐藏恶意程序。
声明：本站所有文章，如无特殊说明或标注，均为本站原创发布。任何个人或组织，在未征得本站同意时，禁止复制、盗用、采集、发布本站内容到任何网站、书籍等各类媒体平台。如若本站内容侵犯了原著者的合法权益，可联系我们进行处理。
