为什么 HTTPS 含有 HTTP 资源依然被载入？

[Quaintjade]

照理来说， https 页面如果引用了非 https 的资源，不是照理不会被浏览器加载的吗？
可为什么实际上 http 的图片仍然会被加载，而不是被屏蔽？是因为即使被替换也不会有安全问题吗？
试了下 IE11, Edge, Firefox 和 Chrome 都是这样。

例如淘宝的用户页：

再比如本页面：

但是这样的话，中间人是不是依然可以把正常图片替换为广告图片？
如果是的话，进一步想，如果某些支付 /银行网站页面的正常图片被替换成醒目的诈骗信息图片（比如闪烁的“你的安全受到威胁，请拨打 XXXXX 联系客服！”图片），不是仍然会对用户造成安全威胁吗？

[gamexg]

只会加载图片，认为图片引起的安全隐患比较小。
上 Content Security Policy 可以使用引用白名单

[BOYPT]

本来不就是这样的么，不然的话 v2 上你们用图床还怎么显示图片。