咨询无需修改浏览器配置，HTTPS网站白名单http://localhost:1234请求的方案

好问题！首先得明确一点：在线HTTPS网站向HTTP协议的localhost:1234发起请求属于混合主动内容，Firefox和Safari的默认安全策略会直接阻止这种请求——这是浏览器层面的核心安全限制，不是单纯靠CSP配置就能绕过的。不过，确实有几个不用修改浏览器全局配置的方案可以解决这个问题：

方案1：给本地localhost服务启用HTTPS（最推荐） #

这是从根源上解决混合内容问题的办法：

• 你可以用mkcert这类工具快速生成受本地信任的自签名SSL证书，它会自动把证书添加到系统和浏览器的信任存储里，不需要手动改浏览器全局配置
• 把你的本地服务改成HTTPS协议，监听localhost:1234（或者换个端口，比如4430），这样在线HTTPS网站向https://localhost:1234发起请求时，就不再是混合内容，浏览器会正常允许，唯一需要的操作是首次访问本地HTTPS服务时确认信任证书（这是单次操作，不会影响其他站点）

方案2：针对当前站点临时豁免混合内容限制 #

如果不想改动本地服务，你可以给目标在线站点单独开启混合内容允许，这属于站点级的临时设置，不会修改浏览器全局配置：

• Firefox：打开在线HTTPS站点后，点击地址栏的锁图标 → 选择「连接安全」→ 「更多信息」→ 「查看证书」→ 切换到「安全」标签页 → 找到「允许混合内容」选项并启用
• Safari：打开在线HTTPS站点后，点击地址栏的锁图标 → 选择「网站设置」→ 在「混合内容」下拉菜单里选「允许」

为什么不能直接用CSP加白名单？ #

很多人会想到用CSP的connect-src指令添加http://localhost:1234，但这没用——因为混合内容限制是浏览器的基础安全规则，优先级高于CSP。即使CSP允许这个地址，浏览器仍然会因为混合主动内容的原因阻止请求。

如果以上方案都不想用，那很遗憾，目前没有办法绕过Firefox和Safari的这个限制——毕竟这是浏览器为了防止HTTPS站点被注入不安全的HTTP请求而设计的核心安全机制。

内容的提问来源于stack exchange，提问作者jeanpaul62