Question

我有一个网站，用户可以在上面写博客文章。我正在使用$('#btn_id').prop('disabled',true);来允许用户添加内容和内容也可以通过插入链接来显示图像。

但问题是，如果用户插入以stackoverflow pagedown editor开头的链接，例如http://，则浏览器会显示警告，

http://example.com/image.jpg

我想知道如何强制浏览器仅使用插入图像的Your Connection to this site is not Fully Secure. Attackers might be able to see the images you are looking at & trick you by modifying them版网站，尤其是当用户插入以https://开头的链接时？

或者这个问题还有其他解决办法吗？

image

Answer 1

不幸的是，浏览器希望通过ssl提供所有加载的资源。在您的情况下，您别无选择，只能自行存储所有图像，或创建或代理从http到https的请求。但我不确定这样做是否真的安全。

例如，你可以这样做：
我假设代码是php，而不是https

<?php
define('CHUNK_SIZE', 1024*1024); // Size (in bytes) of tiles chunk

// Read a file and display its content chunk by chunk
function readfile_chunked($filename, $retbytes = TRUE) {
    $buffer = '';
    $cnt    = 0;
    $handle = fopen($filename, 'rb');

    if ($handle === false) {
        return false;
    }

    while (!feof($handle)) {
        $buffer = fread($handle, CHUNK_SIZE);
        echo $buffer;
        ob_flush();
        flush();

        if ($retbytes) {
            $cnt += strlen($buffer);
        }
    }

    $status = fclose($handle);

    if ($retbytes && $status) {
        return $cnt; // return num. bytes delivered like readfile() does.
    }

    return $status;
}


$filename = 'http://domain.ltd/path/to/image.jpeg';
$mimetype = 'image/jpeg';
header('Content-Type: '.$mimetype );
readfile_chunked($filename);

Credit for code sample

_更新1 _
Alternate solution to proxify steamed downloaded file in Python

_更新2 _
在以下代码中，您可以将数据从远程服务器流式传输到前端客户端，如果您的Django应用程序通过https，则内容将正确传递。

目标是按原始图像的1024位组读取，然后将每个组流式传输到浏览器。当您尝试加载大量图像时，此approch可避免超时问题。

我建议您添加另一个图层以使用本地缓存代替下载 - ＆gt;代理每个请求。

import requests
# have this function in file where you keep your util functions 
def url2yield(url, chunksize=1024):
   s = requests.Session()
   # Note: here i enabled the streaming
   response = s.get(url, stream=True)

   chunk = True
   while chunk :
      chunk = response.raw.read(chunksize)

      if not chunk:
         break

      yield chunk


# Then creation your view using StreamingHttpResponse
def get_image(request, img_id):
   img_url = "domain.ltd/lorem.jpg"
   return StreamingHttpResponse(url2yield(img_url), content_type="image/jpeg")

与此站点的连接并非完全安全

1 个答案: