网站升级 HTTPS ，全 html 文件， web 服务器 IIS。 有什么好办法?

[itll]

• 网站升级 HTTPS，全 html 文件，页面内引用图片，js 都是写的完整地址如下：

<script type="text/javascript" src="http://www.demo.com/js/xx.js"></script>

.logo a{display: block;float: left;background: url( http://www.demo.com/images/logo.png) no-repeat 0 0px;height: 50px;width: 170px;}

<img src="http://www.demo.com/images/logo.jpg"></a>

• IIS 已经配置 301 重定向()，但页面中图片链接写完整地址 http，导致 chrome 显示不安全
  • 参考： https://www.hangge.com/blog/cache/detail_1885.html
• 目前找到 2 种解决方法，都需要修改许多页面（预估 500 个左右）
  • 修改页面中链接地址

  <img src="https://example.com/ququ.jpg" />  
  => 
  <img src="//example.com/static//ququ.jpg" />
  

  • 页面中添加

  <meta http-equiv="Content-Security-Policy" content="upgrade-insecure-requests"> //站点内的 HTTP 请求，都会 HTTPS 的方式发起
  

  • 参考： https://imququ.com/post/sth-about-switch-to-https-3.html

大家还有简单的方法吗？

[zachlhb]

静态资源开头不要写协议，只需 //xxx.com/xxxx.jpg 就行了，会自动适配当前访问的协议类型

[CallMeReznov]

相对路径+不要 http 的外部连接就行了呀

[also24]

建议修改链接，用 sed 或者找个主流的文本编辑器批量改一下就好

[itll]

@zachlhb
省略 URL 协议有个风险点：个别移动网络提供商篡改页面时，会将这种写法的 URL 改坏，导致资源无法访问。详见《诡异问题排查之「 DataURI 引发的血案」》这篇文章。
https://imququ.com/post/sth-about-switch-to-https-3.html

[ysc3839]

meta http-equiv 的作用是通过 HTML 设置一些原本需要放在 HTTP 响应头中的属性，而不需要对服务器本身进行设置。
但是在能调整服务器设置的情况下，就没必要使用 meta http-equiv 了，直接在 HTTP 响应头中设置即可。

[itll]

@also24 蛋疼的是 N 年的官网， 许多老页面。无法完整 copy 下来，只能一个个的修改页面

[yuzo555]

实在懒惰的话可以在 IIS 中配置响应头：

```
Content-Security-Policy: upgrade-insecure-requests;
```

最好还是找个文本替换工具批量替换下。

[itll]

@ysc3839 IIS 服务设置了，图片链接也 301 重定向。关键 chrome 上还是显示不安全

[Mutoo]

sublime 或者 vsc 都支持全目录查找替换的，用正则一下就搞定。不放心可以版本控制，commit 之前目测一下。500 个一点也不多。

[ysc3839]

@itll 最好确认一下，响应头中是否含有 Content-Security-Policy ？浏览器还会通过 http 请求吗？
如果确认 Content-Security-Policy 已经生效，那可能是 Chrome 的限制吧，必须把链接改掉才不提示。

[wangkun025]

我也是 sublime 文本替换。分分钟的事儿。

[itll]

@ysc3839 之前页面中没有加 Content-Security-Policy，是不行的。 加了就 OK 了

[itll]

@Mutoo N 年的官网项目，没有版本控制。太大无法完整 copy 下来。还只能一个一个页面修改

[itll]

@yuzo555 IIS 中添加相应头可以。我再测试测试

[ysc3839]

@itll 所以你前面说的“IIS 服务设置了”指的是什么？有试过在响应头中添加 Content-Security-Policy 吗？

[itll]

@ysc3839 在 IIS 响应头中添加 Content-Security-Policy 可以，正在测试。之前以为只能 html 页面中添加

[sampeng]

@itll 太大是多大？几十个 T ？ G 单位的，你在这里等待答案的同时已经完事了

[ChanKc]

hsts ？

[itll]

@sampeng 生产的服务器访问不了， 运维反馈部分文件夹无法压缩，里面掺杂的东西太多。产品展示全是当个 html 文件

[itll]

感谢大家，问题已经解决。IIS-->Http 响应标头添加 Content-Security-Policy: upgrade-insecure-requests;

@yuzo555 @ysc3839 感谢