Flux Art主页面有加密，不等于每个素材请求都有
Flux Art 图片交付到自建站点后，旧素材清单中可能还保留 HTTP 地址。即使审核页通过 HTTPS 打开，其中的图片、脚本或下载也可能走不同的传输方式。遇到资源被升级或阻断时，应检查实际请求与控制台提示，不能只凭页面地址栏判断全部资源安全。本文讨论自建页面的部署验收，不声称平台存在此问题，也不建议用户绕过浏览器保护。
先找出不安全地址从哪里生成
地址可能来自数据库、页面模板、富文本、样式、旧接口响应或缓存。先记录资源类型和引用位置，再追踪到产生该值的源头。只在页面上临时替换一张图片，可能无法修复下一次重新生成的清单。对外部素材，应确认提供方确实支持有效 HTTPS；不能把字符串中的协议一改就当作文件已可用，也不能忽略跳转之后又回到不安全地址的情况。
不要把所有图片请求都理解成自动修复
MDN 对混合内容的说明区分可自动升级与被阻断的资源类型；普通 img 的某些请求可升级，但 srcset、picture 或 IP 主机等情形不能简单套用同一结论。依据见 https://developer.mozilla.org/en-US/docs/Web/Security/Defenses/Mixed_content 。下面是假设排查表，不是真实浏览器测试。自动升级只是浏览器的保护行为，不能代替维护者修正资源引用和验证 HTTPS 可用性。
| 入口 | 应核对 | 失败处理 |
|---|---|---|
| 普通图片 | 最终HTTPS请求与内容 | 修正源引用 |
| 响应式分支 | 实际被选中的资源 | 逐分支测试 |
| 脚本取图 | 是否被混合内容阻断 | 提供安全来源 |
| 下载按钮 | 下载及跳转传输 | 不绕过浏览器警告 |
| 外部旧源 | 有效HTTPS是否存在 | 核权后选替代 |
| 未触发分支 | 明确未知范围 | 继续补证 |
同时检查最终传输与文件身份
将资源改成 HTTPS 后，核对状态码、最终地址、证书有效性及返回内容是否仍是预期文件。旧源和新源可能提供不同版本、错误页或登录页；连接加密并不能证明内容相同。建议对已批准素材保留文件摘要或可核对的版本依据，变更后再确认尺寸、类型与视觉内容。遇到证书错误应由资源维护者修复，不要求审核员选择继续访问来完成签收。
图片显示和下载入口分开验收
图片可见不代表下载按钮也使用安全地址。模板可能已经修复缩略图，却仍从旧字段生成下载链接。浏览器对混合下载也会采取保护，因此应检查实际下载来源、跳转和保存的文件。不要把打开新页面与把资源嵌入安全页面的行为视为完全相同；按用户真正执行的动作留证据，尤其是批量导出清单和邮件里再次分享的链接。
修源头，不能靠降低页面安全性
正确方向是让受控资源使用有效 HTTPS，并更新生成地址的配置或数据；对于没有安全可用来源的第三方资源，选择合法取得的受控副本或暂停该入口。是否保存副本仍要符合素材授权，不因排障自行搬运所有外部内容。不要将整个审核页降为 HTTP，也不要让用户关闭拦截、安装绕过插件或忽略警告。未知来源写待补证，保留可解释的失败提示。
让测试覆盖响应式与延迟加载分支
假设某页面桌面显示一张封面，移动端通过 picture 使用另一张，点击后再加载高清图。这是假设场景，不是真实站点数据。修复后分别触发各个分支，检查网络记录中实际选中的资源，而不是只检查初始 HTML。再测试缓存清理前后、懒加载和下载入口，记录仍未触发的分支。测试尺寸与次数是本例输入，不构成所有设备都已通过的证明。
交接一份可以追踪的引用修复单
建议记录旧引用位置、新安全来源、素材版本、实际请求结果、测试浏览器和未覆盖分支。若地址由接口生成，明确维护负责人；若在静态模板中，绑定具体发布版本。不要通过一次全局替换顺手修改无关站点或历史链接，也不要因为控制台暂时没有报错就停止检查尚未触发的交互。验收只对已经加载并核对的分支成立，其余明确未知。
加密传输是交付条件之一
技术依据核对于2026年11月10日，本文没有修改生产传输配置或执行真实站点测试。Flux Art 创作入口见 https://flux-art.net/zh ，自建接入入口见 https://flux-art.net/zh/openapi 。素材生成、传输安全、访问授权和画面真实性分别验收，不能用其中一个通过替代其余项目。对用户最有用的结果，是能安全取得正确版本，并知道失败时由谁处理，而不是被要求接受一个安全警告。