强制 HTTPS（HSTS）

什么是 HSTS

HSTS（HTTP Strict Transport Security）是一种安全策略机制，强制浏览器使用 HTTPS 与服务器建立连接。它通过响应头 Strict-Transport-Security 实现，告诉浏览器在指定时间内（max-age）只能通过 HTTPS 访问该网站，即使用户手动输入 HTTP 地址也会被强制跳转到 HTTPS。

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

为什么需要 HSTS

HTTP 协议存在明文传输的安全隐患，攻击者可以窃听或篡改数据。虽然 HTTPS 解决了这个问题，但用户首次访问时可能仍通过 HTTP 发起请求（如手动输入网址时省略协议）。HSTS 通过以下方式增强安全性：

1. 防止 SSL 剥离攻击：中间人攻击者可能拦截 HTTP 请求阻止 HTTPS 升级
2. 避免混合内容问题：确保所有资源都通过 HTTPS 加载
3. 减少一次跳转：直接建立 HTTPS 连接而不需要先通过 HTTP 302 跳转

HSTS 工作原理

当浏览器首次访问支持 HSTS 的网站时：

1. 服务器返回 Strict-Transport-Security 响应头
2. 浏览器记录该域名应使用 HTTPS
3. 在 max-age 指定时间内，所有对该域名的请求都会自动使用 HTTPS
4. 如果 HTTPS 连接失败，浏览器会拒绝连接（而非降级到 HTTP）

如何实现 HSTS

基础配置

在服务器配置中添加 HSTS 响应头：

# Nginx 配置
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

# Apache 配置
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"

高级选项

1. includeSubDomains：应用于所有子域名
2. preload：申请加入浏览器预加载列表
3. max-age：有效期（秒），建议至少 6 个月（15768000）

HSTS 预加载列表

浏览器内置了一个 HSTS 预加载列表，包含强制使用 HTTPS 的域名。申请加入需满足：

1. 有效的 HTTPS 证书
2. 所有子域名都支持 HTTPS
3. 重定向 HTTP 到 HTTPS
4. 包含 preload 指令的 HSTS 头
5. max-age 至少 1 年（31536000）

Strict-Transport-Security: max-age=63072000; includeSubDomains; preload

开发注意事项

1. 测试环境：先在测试环境验证，错误配置可能导致网站无法访问
2. 回退方案：确保 HTTPS 完全可用后再启用
3. Cookie 安全：配合 Secure 和 HttpOnly 属性
4. 混合内容：确保所有资源使用 HTTPS

// 前端检查当前是否 HTTPS
if (window.location.protocol !== 'https:') {
  window.location.protocol = 'https:';
}

常见问题解决

证书错误处理

HSTS 域名出现证书错误时，浏览器会阻止访问（无法忽略警告）。解决方案：

1. 确保证书有效且受信任
2. 检查证书是否包含所有使用域名
3. 如有必要，先降低 max-age 测试

本地开发影响

HSTS 会影响本地开发（如 localhost）。解决方法：

1. Chrome 访问 chrome://net-internals/#hsts
2. 删除测试域名
3. 或使用独立开发域名

浏览器兼容性

现代浏览器都支持 HSTS，但需注意：

1. IE 11+ 和 Edge 支持
2. Chrome 4+、Firefox 4+、Safari 7+ 支持
3. 移动端主流浏览器支持

安全最佳实践

1. 配合 CSP 内容安全策略使用
2. 启用 HPKP（已弃用）或证书透明度
3. 定期检查证书和配置
4. 监控 HSTS 头是否正常发送

Content-Security-Policy: upgrade-insecure-requests

性能考量

HSTS 实际上能提升性能：

1. 减少 HTTP→HTTPS 的 302 跳转
2. 浏览器可预先知道必须使用 HTTPS
3. 启用 OCSP Stapling 减少证书验证时间

实际部署案例

某电商网站部署 HSTS 后的变化：

1. 混合内容错误减少 98%
2. 中间人攻击尝试下降 85%
3. 页面加载时间平均缩短 300ms
4. SEO 排名小幅提升（HTTPS 是排名因素）

监控与维护

1. 使用安全头扫描工具定期检查
2. 监控证书过期时间
3. 确保备份和回滚方案
4. 关注浏览器预加载列表更新状态

# 使用 curl 检查 HSTS 头
curl -s -D- https://example.com | grep -i Strict-Transport-Security