我刚加入一个项目，在浏览代码时，我意识到一些链接重定向到另一个网页，使用 HTTP 而不是 HTTPS。
链接的网站有一个 https 版本，没有理由不使用它，所以我解决了这个问题。
但是，第一个网站正在生产中，因此我们应该避免重建整个服务器以进行较小的更正，而是等待重新组合几个较小的修复。
我只是想知道这是否是一个小问题，或者引导用户访问 HTTP 网站是否是一个主要问题。
链接的网站是属于我工作的公司的展示网站，没有登录帐户等交互，所以我想虽然中间人攻击仍有可能，但没有可窃取的敏感内容/数据。除此之外，链接在第一个网站的页脚，而且网站本身没有大流量，所以点击的人数应该不会那么高
它有多重要？这样的问题可以等待几天，还是应该尽快解决？
总的来说，风险很低，正如这里的其他答案所表明的那样。但是，有一种情况会引入风险：
secure设置标志在所有这些都存在的情况下，会话令牌可能会通过中间人（MiTM）攻击被拦截；因为浏览器会自动将它们发送到另一个站点，并且它们将以纯文本而不是通过加密的 HTTPS 流发送。
这是一组相当具体的标准，中间人攻击很难实施，因此应该根据 1）您的网站是否存在所有这 3 个标准，以及 2）对您的应用程序中的信息是。
如果您的网站是纯静态的并且不包含任何登录或敏感数据，那么技术层面的风险可能很低，并且可能不保证周期外的修复。
另一方面，声誉也存在风险。如果您的业务依赖于“安全”的声誉，那么潜在客户/客户可能会认为您没有遵循最佳实践（到处都是 https）。
编辑：根据 Jason Ross 的回答，我还应该提到，当用户访问不安全的网站并登录到同一域上的 Web 应用程序并且cookie 设置不正确（缺少 SECURE 位）时，可能会通过 cookie 泄露凭据
在许多现代企业部署场景中，应用程序开发人员根本不用担心 https，因为这是基础架构团队关心的问题。在这些情况下，SSL 在负载均衡器上终止，证书由基础架构团队管理。默认情况下，负载均衡器还将提供 http -> https 重定向。
有了这种世界观，应用程序重定向到的位置并不那么重要。为了保持一致性，最好使用当前协议，而不是专门使用 http 或 https，因此您的应用程序在 dev（不带 tls）或 prod（带 tls）中同样运行良好。