用途：审查 HTTPS 页面是否存在通过 HTTP 加载的子资源，即混合内容（mixed content）。
主要能力：区分主动与被动混合内容。主动混合内容（脚本、iframe、样式表经 HTTP 加载）会被现代浏览器直接阻止，攻击者可借此在页面上执行任意 JavaScript，危害等同 XSS。被动混合内容（图片、音频、视频）会触发安全警告，可能被自动升级或阻止。
检查方式：扫描页面源码与网络请求，查找 HTTPS 页面中的 HTTP 资源；检查 script、img、link、iframe 及 CSS url() 中的 http:// URL；并检查 Content-Security-Policy 响应头是否包含 upgrade-insecure-requests 指令。
修复方式：将所有 http:// 资源地址替换为 https:// 对应地址；若资源提供方不支持 HTTPS，则自行托管或更换来源；可添加 Content-Security-Policy: upgrade-insecure-requests 作为兜底，自动将剩余 HTTP 子资源升级为 HTTPS。
适用场景：前端安全审查、上线前检查、遗留站点 HTTPS 迁移。限制：资料未提供具体框架实现与完整代码示例，完整细节需参考 references/rule.md 与规则页。