Niepewna zawartość w iframe na bezpiecznej stronie

Question

Jestem w trakcie opracowywania aplikacji dla klienta, który będzie miał certyfikat SSL i będzie obsługiwany pod https. Jednakże, aby zintegrować się z istniejącą witryną, chcą zapewnić nawigację wewnątrz elementu iframe.

Widzę, że powoduje to problemy, ponieważ spodziewałbym się, że przeglądarka będzie narzekać na mieszankę bezpiecznych i niezabezpieczonych treści na stronie. Spojrzałem na podobne pytania tutaj i wszystkie wydają się odnosić do tego w drugą stronę (bezpieczna zawartość w iframe).

Co chciałbym wiedzieć, to: czy spowoduje to problemy z umieszczeniem niezabezpieczonej zawartości w elemencie iframe, umieszczonym na bezpiecznej stronie, a jeśli tak, jakie będą tego problemy?

Idealnie, jeśli nie jest to dobry pomysł (i mam silne poczucie, że tak nie jest), muszę być w stanie wyjaśnić to klientowi.

Answer 1

Jeśli strona jest dostępna poprzez https://www.example.com/main/index.jsp (SSL), a następnie przeglądarka będzie narzekać na „Ta strona zawiera zarówno bezpieczne i niebezpieczne przedmioty” czy są jakieś środki w kodzie HTML, które są przywoływane z http:// (bez SSL) . Obejmuje to elementy iframe.

Jeśli strona nawigacji znajduje się na tym samym serwerze, a następnie można zapobiec komunikat „niebezpieczne treści” przy użyciu względny adres URL takiego ...

<iframe src="/app/navigation.jsp" /> 

Od swoje pytanie brzmi jak swojej strony nawigacyjnej jest podawane z osobnego hosta i jesteś zmuszony użyć czegoś jak ten

<iframe src="http://otherserver.example.com/app/navigation.jsp" /> 

które będą oczywiście powodować komunikat „niebezpieczne treści” w swojej przeglądarce.

Twoje tylko rozwiązania są albo

1. wdrożenia protokołu SSL na serwerze trzymając swoją stronę nawigacji, dzięki czemu można używać https:// celach informacyjnych iframe lub

2. przenieść aplikację nawigacji na tym samym serwerze więc możesz użyć względnego adresu URL.

Osobiście nie widzę dlaczego nawigacja będzie na innego hosta, bo wtedy masz zamiar dostać problemy skryptów między domenami JavaScript (chyba jakiś ostry JSONP jest zaangażowany).

Answer 2

Jeśli twoja strona jest http, to pozwala iframe z treści https.

Ale jeśli twoja strona jest https, to nie pozwala na zawartość http.

Pozwala odrzucić następujące możliwości.

page - iframe - status 

http - http - allowed 
http - https - allowed 
https- http - not allowed 
https- https - allowed 

Answer 3

Spróbuj usunąć http: znaków w wartości atrybutu src jako tak:

<iframe src="//example.com/thefile.htm"></iframe> 

Jest to oczywiście obejście, bezpieczeństwo jest ważne, więc nie ominąć beztrosko, ale w każdym razie to tylko raz mi podobny problem.