我把关键点核对了一遍，91视频 | 关于浏览器拦截的说法 - 我把过程完整复盘了一遍。不排除还有后续
导语
我把关于“浏览器拦截 91 视频”的种种说法做了全面核对和复盘，把排查过程、关键证据、结论与下一步建议都写在这里。希望这篇贴出后能直接帮到遇到同类问题的同事与用户，也便于把后续进展同步给大家。
一、事情起因与目标
有用户/渠道反映访问 91 视频时浏览器提示页面不安全或直接被拦截，导致视频无法播放或页面加载异常。目标是还原问题、定位根因、排除误报/本地问题，并给出可执行的修复与应对方案。
二、我核对的关键点（检验项）
- 浏览器提示文本与类型（是否为 Chrome 的 Safe Browsing、证书错误、混合内容或扩展阻止提示）
- 在不同浏览器与不同环境下的表现（Chrome、Firefox、Edge；无痕/隐私模式；不同设备）
- 本地环境因素（浏览器扩展、杀软/网关拦截、hosts 或企业代理）
- HTTPS/证书情况（有效期、链、SNI、证书颁发机构）
- 页面资源的加载情况（是否存在 http 资源导致混合内容）
- 第三方脚本或广告 SDK（某些脚本被安全服务或扩展标为风险）
- 响应头与安全策略（CSP、X-Frame-Options、Referrer-Policy 等）
- CORS 与视频请求的跨域问题
- 服务器返回码、重定向链与 CDN 配置
- 客户端控制台与网络抓包（HAR / Chrome DevTools / tcpdump）
三、复盘步骤（按顺序）
1) 快速复现
- 首先在本地用 Chrome、Firefox、Edge 逐一访问问题页面并截图/记录浏览器提示。无痕模式测试以排除缓存与登录态问题。
结果记录：在我的测试中，Chrome 在常规模式下给出“已阻止（blocked）”或插件样式的拦截提示；在无痕且禁用扩展后，页面能正常加载或提示不同信息（这类差异用于判断是否为扩展或本地杀软引起）。
2) 禁用扩展和本地安全软件排查
- 关闭所有浏览器扩展（尤其广告拦截器、隐私保护类扩展）并在无痕/新用户配置下重试；暂时停用或绕过本地杀软/企业代理后再试。
发现要点：多数情况下，广告/隐私扩展会阻止某些视频脚本或请求，表现为页面加载不完整或视频容器为空。
3) 控制台与网络抓包
- 打开 DevTools 的 Console 和 Network，刷新页面并保存 HAR。重点看被 Block 的请求、HTTP 状态码、错误信息（如 Mixed Content、CORS error、certificate error）。
典型示例：若有“Mixed Content”错误，说明页面通过 HTTPS 加载但嵌入的某个脚本或媒体通过 HTTP 请求，浏览器会默认阻止。
4) SSL/证书与域名检查
- 使用 openssl s_client、在线工具（SSL Labs）或浏览器证书细节检查证书链、过期、主机名不匹配等。
可能结果：证书链不完整或证书已过期会导致浏览器直接报错并阻止访问；这类问题通常不是扩展能造成的。
5) 第三方安全黑名单 / 报告检查
- 在 VirusTotal、Google Safe Browsing、PhishTank 等处查询域名是否被列入黑名单。
如果域名在安全厂商处被标记，会触发浏览器自带的阻断机制，此时需要向相应厂商申请复核。
6) 服务器与 CDN 日志
- 查看后端与 CDN 的访问日志，确认请求是否到达服务器、是否有异常响应或被 WAF 拦截。
线索示例：如果日志显示请求正常，但客户端被拦截，问题更偏向客户端或中间安全链路（如 ISP/网关）。
7) 复现脚本与自动化测试
- 用 curl、wget 测试关键资源请求，记录响应头（Content-Type、CORS、Cache-Control）。
常见问题：缺少 Access-Control-Allow-Origin 会导致跨域请求失败，特别是视频使用跨域资源时。
四、我的判断与结论（结合复盘结果）
- 优先级最高的两个类别：一类是“客户端/扩展/本地安全软件”引起的拦截；另一类是“站点端的安全/资源配置异常（混合内容、证书、CSP、第三方脚本）”导致浏览器或安全厂商标记。
- 在我复盘的环境中，明显的证据指向了第三方脚本/广告资源（或被某些扩展识别为跟踪或恶意）以及部分资源的混合内容问题。这会让浏览器或部分扩展拦截视频加载。与此同时，证书与 DNS 在我的检查中没有发现普遍性的异常（若你在别的环境看到的是证书错误，那就属于另一类问题）。
- 结论并非一句话可以覆盖所有用户遇到的情况：不同用户看到不同的拦截提示，说明问题可能为多个来源并存，需要分渠道处理。
五、针对不同角色的建议（可立刻执行）
对站点维护者（站方）：
- 强制所有资源走 HTTPS，检查页面中是否有任何 http:// 的外链（脚本、样式、图片、视频源），一律替换为 https:// 或相对协议。
- 检查并补全证书链，确保证书有效且主机名匹配。使用 SSL Labs 做全面检测。
- 审核第三方脚本与广告 SDK，尽量减少隐蔽加载的脚本，或者把风险信息展示给用户；必要时替换或移除容易被误判的组件。
- 明确设置 CORS 头（Access-Control-Allow-Origin）和合适的 Content-Type，保证视频/资源能被正常请求和播放。
- 配置合理的 CSP（Content-Security-Policy）以减少被浏览器或安全产品误判的可能性，同时避免过于严格导致资源被阻断。
- 如果域名被安全厂商列为可疑或钓鱼，按照各厂商流程提交申诉/复核（Google、Microsoft 等都有申诉入口）。
- 在站点公告或帮助中心提供故障排查指南（例如：尝试无痕模式、禁用扩展、清除缓存、检查证书等）以降低用户焦虑。
对普通用户：
- 尝试使用无痕/隐私模式打开页面；若能正常打开，说明问题多半与扩展或缓存有关。
- 逐一禁用浏览器扩展，尤其是广告拦截或隐私类扩展，确认是否由此导致阻断。
- 检查系统级安全软件或公司网络策略（企业网有时会统一拦截某些资源）。
- 若浏览器给出“网站不安全”或“钓鱼/恶意”提示，可在不同设备/网络下再次验证，并将提示文本截图反馈给站方以便快速定位。
六、我已经做/建议继续做的事情（后续计划）
- 持续监测来自不同地区与不同浏览器的访问日志与错误报告，寻找模式（是否集中在某一浏览器、某一扩展或某一 CDN 节点）。
- 针对被标记为可疑的第三方资源，优先替换或暂时下线做对比验证。
- 如果发现确实是某个安全厂商的误判，立即按其流程提交申诉并保存好复查所需证据（控制台截图、HAR、服务器日志、修复记录）。
- 在站点帮助页面里加入详细的“浏览器拦截排查步骤”与截图说明，便于用户自助解决并减少客服压力。
- 定期跑自动化检测脚本（检测混合内容、证书状态、CSP/安全头完整性），把异常纳入告警系统。
