💡
原文中文，约4600字，阅读约需11分钟。
📝
内容提要
本文介绍了混合内容如何破坏HTTP预览，以及如何使用HSTS标头和CSP防止路径攻击。同时，介绍了Google如何通过预加载HSTS设置来强制通过HTTPS提供.dev域名服务，并提醒用户设置HTTP预览时存在的安全隐患。
🎯
关键要点
- 混合内容会破坏HTTPS预览，导致安全隐患。
- HSTS（HTTP严格传输安全）标头可以防止路径攻击。
- 大多数浏览器默认不允许HTTPS页面加载HTTP内容。
- 跨站点脚本（XSS）攻击可以通过不清理用户输入的评论实现。
- 内容安全策略（CSP）可以限制网页上可加载的内容来源。
- 路径攻击发生在攻击者可以操控HTTP请求时。
- 浏览器禁止加载混合内容以保护HTTPS的目的。
- 禁用HTTP请求的重定向可能会导致预览无法正常工作。
- Google通过预加载HSTS设置强制所有.dev域名通过HTTPS提供服务。
- 购买不在HSTS预加载列表中的域名可以解决问题。
- 用户在创建HTTP预览时需意识到安全隐患，添加特殊标签以提醒用户。
➡️
