上一篇
HTTP严格传输安全协议是干嘛的？HSTS协议有什么用
HTTP 严格传输安全协议（HTTP Strict Transport Security，简称 HSTS）是一种 Web 安全机制，旨在强制浏览器通过 HTTPS 与服务器进行通信，从而防止中间人攻破（MITM）和协议降级攻破。
核心功能与工作原理
HSTS 的核心作用在于消除“HTTP 到 HTTPS”的降级风险，在没有 HSTS 的情况下，当用户输入 http://example.com 时，浏览器会先发起一个明文 HTTP 请求，服务器随后返回一个 301/302 重定向指向 HTTPS 地址，在这个短暂的 HTTP 请求过程中，攻破者可以拦截该请求，将其重定向到恶意网站，或者利用 SSL 剥离攻破（SSL Stripping）强制用户保持在不安全的 HTTP 连接中。
启用 HSTS 后，服务器会在响应头中携带 Strict-Transport-Security 字段，浏览器在接收到该头信息后，会在指定的时间内（由 max-age 参数决定）记住该域名必须使用 HTTPS 访问，此后，即使用户手动输入 http:// 或点击了旧的 HTTP 链接，浏览器也会在本地直接将其转换为 https:// 再发起请求，从而彻底避免了首次访问时的明文传输风险。
关键配置参数解析
HSTS 头部指令主要包含以下三个关键参数，它们共同决定了策略的严格程度和覆盖范围：
|
参数名称 | 描述 | 示例值 | 作用说明 |
|---|---|---|---|
| max-age | 策略生效的时间长度（秒） | max-age=31536000 | 浏览器将在该时间内强制使用 HTTPS，建议设置为至少一年（31536000秒）。 |
| includeSubDomains | 是否应用于子域名 | includeSubDomains | 若包含此指令，策略将自动应用于所有子域名（如 api.example.com）。 |
| preload | 是否预加载到浏览器列表 | preload | 若包含此指令，网站可申请加入浏览器的 HSTS 预加载列表，即使从未访问过该网站，浏览器也会强制使用 HTTPS。 |
为什么需要 HSTS？
- 防止 SSL 剥离攻破：攻破者可以拦截用户与服务器之间的初始 HTTP 请求，并移除 HTTPS 重定向，使用户停留在不安全的连接中，HSTS 通过浏览器本地缓存策略，使得这种拦截无效。
- 提升用户信任度：强制加密传输确保了数据的机密性和完整性，防止敏感信息（如密码、信用卡号）在传输过程中被窃听或改动。
- 符合合规性要求：许多安全标准和法规（如 PCI DSS）要求对敏感数据传输进行加密，HSTS 是实现这一要求的重要技术手段。
实施注意事项
尽管 HSTS 能显著提升安全性，但在实施时需谨慎：
- 初始访问风险：HSTS 策略仅在用户首次成功通过 HTTPS 访问并收到 HSTS 头后生效，网站必须确保初始 HTTPS 连接是绝对安全的，否则用户可能在首次访问时仍面临风险。
- 子域名管理：如果使用了 includeSubDomains，所有子域名都必须配置有效的 HTTPS 证书，如果某个子域名无法提供 HTTPS，整个域名的 HSTS 策略将失效，导致主域名也面临风险。
- 预加载列表：加入 HSTS 预加载列表是一个不可逆的决定，一旦加入，用户即使清除浏览器缓存，也会强制使用 HTTPS，在加入前必须确保所有子域名和所有可能的入口点都已支持 HTTPS。
相关问题与解答
问题 1：如果我在浏览器中清除了缓存，HSTS 策略还会生效吗？
解答：这取决于 HSTS 策略是否被预加载，如果网站仅配置了 max-age 而未加入预加载列表，清除浏览器缓存后，HSTS 策略将失效，浏览器会恢复为正常的 HTTP/HTTPS 重定向行为，但如果网站已加入浏览器的 HSTS 预加载列表（如 Chrome、Firefox 等主流浏览器内置的列表），即使清除缓存，浏览器仍会强制使用 HTTPS，因为策略信息存储在浏览器的内部预加载数据库中，而非普通缓存中。
问题 2：HSTS 能防止所有类型的中间人攻破吗？
解答：不能，HSTS 主要防止的是协议降级攻破（如 SSL 剥离）和首次访问时的明文传输风险，它无法防止以下情况：
- 证书信任问题：如果用户访问的网站使用了自签名证书或不受信任的 CA 签发的证书，浏览器会发出警告，但 HSTS 本身不会阻止这种警告的出现（除非用户手动忽略）。
- 客户端恶意软件：如果用户的设备上安装了恶意软件，该软件可能修改 hosts 文件或载入代码，绕过 HSTS 的限制。
- 服务器端漏洞：HSTS 仅控制客户端的传输协议，无法防止服务器端的应用层漏洞（如 SQL 载入、XSS 等）。
