做零售的老板问：证书装了。浏览器地址栏怎么还是灰色感叹号，说连接不完全安全？我的答案是：八成撞上混合内容。玉溪的老站最常见这个坑。页面里还挂着 http 的图片或脚本，锁就亮不起来。排查其实不难。找对了病根，清起来就快。
混合内容到底是什么
页面本身已经走了 https。里头的图片、视频、js 脚本还在用 http 地址加载。浏览器一查，安全等级立马降一档。老网站一改版，这种最常见。数据库存着十年前的 http 图片链接，一页挂几十条，锁亮不了。
问题出在哪里
按 F12 打开浏览器控制台。Console 把混合内容列得明白，哪张图、哪个脚本一清二楚。也有在线检测工具能整站扫一遍。玉溪一家食品批发客户，改版后扫出两百多条旧链接，一回清完锁就绿了。工具全是现成的，缺的就是肯动手的人。
清理混内容的三条路
图片和静态资源，把地址成批替换成 https 或相对路径。第三方接口的话，管服务商要 https 那一版。旧资源实在动不了的，就借代理转发。清理完强刷缓存再验一遍，别叫本地缓存给骗了。三步走完，锁基本都能亮起来。
顺手把配置分抬上去
锁亮了只算及格线。TLS 版本、HSTS、证书链完整度，决定检测工具打几分。SSL 证书部署这活我们接，检测要到 A 级才算交付。含1年免费维护，出事有人接。分高那么一点客户瞧不出来，安全性可是真高了一截。
老板们关心的问题
混合内容真影响访客吗？
有，脚本级混合内容会被浏览器直接拦下，轮播图、表单可能失灵。
必须一张张改吗？
不用，静态资源成批替换，数据库里跑一遍替换语句，半天清得完。
清完了咋还报警？
CDN 缓存和浏览器缓存没刷新，等缓存过期或手动刷新后再验一遍。
新站也会踩这坑么？
新站从建站起全走 https 就没这问题，老站改版最容易踩。
总结
玉溪的企业网站里，锁亮不亮，客户第一眼就看得见。混合内容不怕，怕的是没人管。把网站地址发给玉溪信服无限扫一遍，病根在哪一看便知，清不清你说了算。改版前后各扫一次，最稳。损耗降一个点，利润就厚一分。先把田间地头的事捋顺，再谈扩张。