2026年7月28日，我们在长春南关区一个商城的站点做HTTPS排查，发现11个页面仍引用http资源。表面看只是浏览器地址栏少了锁形标记，实际已经导致支付回调失败2次、产品图不显示4张。
第一类故障是锁标消失。页面里只要有一张图片、一个脚本或一个字体走http，浏览器就会标记为“不安全”。这次排查的11个页面中，有7个是产品详情页，问题出在编辑器里粘贴的http图片地址。
第二类故障是支付回调。微信支付与支付宝的回调地址必须与备案域名一致，且走https。该商城有2个接口仍写http，回调被浏览器拦截，订单状态停在“待付款”，客服手动改单13笔。
第三类故障是图片不显示。混合内容策略升级后，部分安卓机型会直接阻断http图片。抽查的4张产品图在iPhone上正常、在2款安卓机上空白，换成https地址后恢复。
整改用了2天：全站替换http为https，给图片、CSS、JS统一加协议相对地址，支付回调地址在商户后台同步修改并重新验证。整改后重新抓取11个页面，混合内容告警为0。
负责处理的工程师提醒，证书到期与自己签发的证书是另外两个坑。这次排查同时发现1张证书只剩13天到期，已提前续签，避免月底支付再次中断。