為什麼網站已經是 HTTPS，還會跳出混合內容或不完整的鎖頭？

Question

Weirdo · Accepted Answer

網址列是 HTTPS，不代表頁面上每一個圖、腳本、字型都走 HTTPS。 只要還有資源用明文 HTTP 載入，瀏覽器就會警告、升級或封鎖——這叫混合內容（mixed content），鎖頭因此變灰、破掉，甚至部分功能失效。

混合內容＝安全來源（HTTPS 頁）去抓不安全的子資源（HTTP 的圖、CSS、JS、iframe、字型等）。主文件加密了，但那條 HTTP 請求仍可被竊聽或竄改；腳本被竄改尤其危險，等於整頁被接管。

現行瀏覽器多半會把圖片／影音這類「可升級」請求自動改成 HTTPS；腳本、樣式、XHR／fetch 等「可封鎖」請求則直接擋下。所以你會看到：鎖頭異常、開發者工具一堆 Mixed Content 警告，畫面缺圖或缺互動。

把硬編碼的 `http://` 改成 `https://` 或相對路徑，並在 DevTools 的 Console／Issues 找殘留。CDN 與舊文章資料庫常是罪魁。有 HTTPS 憑證只解決「主連線」；子資源也要加密，鎖頭才會完整。

什麼是混合內容