security - 安全なサイトで、ブラウザーは HTTP から HTTPS への 301 リダイレクトに従いますか?

Question

https://example.org次のようなHTTPリソースへの参照を含むページをHTTPS経由でロードした場合

 <script src="http://example.org/script.js"></script>

ブラウザがスクリプトでない限り、スクリプトのロードを拒否することを理解していますsrc="https://example.org/script.js"。

私の質問は、からへの 301 リダイレクトを実装した場合、ブラウザはリダイレクトに従い、HTTPS 経由でスクリプトをロードしますか、それともロードを拒否しますか?http://example.org/script.jshttps://example.org/script.js

Answer 1

混合コンテンツをブロックするブラウザーは、HTTP->HTTPS リダイレクトからのスクリプトを引き続きブロックすると思います。

安全ではないので、彼らは確かにそうすべきです。攻撃者は HTTP 要求を傍受し、スクリプトを参照するページが意図したものではない HTTPS アドレスにリダイレクトするように変更する可能性があります。