“混合脚本执行”漏洞通常在通过 HTTPS 传送的页面加载通过 HTTP 传送的脚本、CSS 或插件资源时出现。中间攻击者（如处于同一无线网络的用户）通常能截取 HTTP 资源加载，并对加载资源的网站获取完全权限。情况糟糕的话跟没用 HTTPS 一个样。稍轻但类似的问题——暂且称之为“混合显示”漏洞——通常在通过 HTTPS 传送的页面加载通过 HTTP 传送的图像、iFrame 框架或字体时出现，但只能影响页面外观。
浏览器长期以来使用不同的指示符、情态动词对话框、拦截选项甚至是点击确认等方法将这些情况告知用户。如果网站页面存在混合脚本执行问题，Chromium 当前会在 Omnibox 中这样指示：
混合显示内容会这样指示：
如果网站有 HTTPS 页面显示带红叉的 https，就非常值得主动调查了： Continue reading »