上一篇
HTTP严格传输安全协议拿来干啥用，HSTS配置方法是什么
HTTP严格传输安全协议（HSTS, HTTP Strict Transport Security）的核心作用在于强制浏览器与服务器之间建立加密连接，从而从根本上防止中间人攻破（MITM）和协议降级攻破，它解决了“用户忘记输入https://”以及“浏览器自动将https降级为http”这两个长期存在的安全隐患。
核心功能：强制HTTPS连接
在没有启用HSTS的情况下,当用户访问一个网站时，如果直接输入域名（example.com），浏览器默认会尝试通过HTTP（端口80）发起请求，攻破者可以在网络链路中拦截这个明文请求，并将其重定向到恶意页面，或者通过SSL剥离攻破（SSL Stripping）将HTTPS连接降级为HTTP，从而窃取用户的敏感数据（如密码、Cookie）。
HSTS通过服务器在响应头中发送 Strict-Transport-Security 字段，告知浏览器：“在未来的指定时间内，访问该域名时，必须且只能使用HTTPS协议。”一旦浏览器接收到这个指令，它会在本地记录这一策略。
具体应用场景与优势
HSTS 主要解决了以下几个关键安全问题：
- 防止SSL剥离攻破：这是HSTS最直接的用途，攻破者常利用用户输入 http:// 或点击未加密链接的机会，将连接降级为明文，HSTS 让浏览器在首次访问后，后续所有对该域名的访问都自动升级为 HTTPS，即使链接是 http:// 开头，浏览器也会自动转换为 https://。
- 消除用户输入错误风险：许多用户习惯省略 https:// 前缀，HSTS 确保了无论用户如何输入，最终建立的连接都是加密的。
- 保护预加载列表（HSTS Preload List）：主流浏览器（如 Chrome, Firefox, Safari）维护着一个 HSTS 预加载列表，如果一个网站满足严格条件（包括长期有效的 HSTS 头、包含子域名、正确的证书等）并被加入此列表，那么即使这是用户第一次访问该网站，浏览器也会强制使用 HTTPS，无需等待服务器响应，这提供了最高级别的安全保障。
HSTS 的工作原理流程
为了更清晰地理解 HSTS 的工作机制，我们可以将其分为两个阶段：
| 阶段 | 行为描述 | 浏览器行为 |
|---|---|---|
| 首次访问 | 用户访问 http://example.com 或 https://example.com | 服务器在 HTTPS 响应头中包含 Strict-Transport-Security: max-age=31536000; includeSubDomains，浏览器解析该头，记录该域名的 HSTS 策略。 |
| 后续访问 | 用户再次访问 example.com 或任何子域名 | 浏览器检查本地 HSTS 策略缓存，如果策略未过期，浏览器会自动将 HTTP 请求转换为 HTTPS 请求，即使 URL 中写的是 http://。 |
配置建议与注意事项
虽然 HSTS 非常强大，但配置不当可能导致严重问题，以下是关键配置参数说明：
- max-age：指定浏览器应遵守 HSTS 策略的时间（以秒为单位），建议设置为至少 31536000（1年）。
- includeSubDomains：可选参数，如果启用，策略将应用于所有子域名，这对于保护整个域名体系至关重要，但需确保所有子域名都支持 HTTPS。
- preload：可选参数，如果启用，表示允许网站被提交到浏览器的 HSTS 预加载列表中。
重要警告：
- 不要立即启用 preload：在将网站加入预加载列表之前，必须确保所有子域名都支持 HTTPS，max-age 设置足够长（通常建议至少 1 年），一旦加入预加载列表，即使你从服务器上删除了 HSTS 头，浏览器仍然会强制使用 HTTPS，导致无法访问。
- 初始访问必须通过 HTTPS：HSTS 头只能通过 HTTPS 响应发送，如果用户第一次访问是通过 HTTP，他们不会收到 HSTS 头，因此第一次访问仍然存在被降级攻破的风险，这就是为什么预加载列表如此重要——它消除了第一次访问的风险。
常见问题与解答
如果我在服务器上错误地配置了 HSTS，导致所有用户无法访问网站，该如何紧急修复？
解答：
这是一个高风险操作，因为一旦 HSTS 策略被浏览器缓存，服务器端的修改可能无法立即生效，紧急修复步骤如下：
- 立即移除 HSTS 头：从服务器配置中删除 Strict-Transport-Security 响应头。
- 如果未加入预加载列表：等待浏览器缓存过期（即 max-age 设定的时间），或者指导用户清除浏览器缓存/使用无痕模式访问。
- 如果已加入预加载列表：情况非常棘手，你必须向浏览器厂商（如 Google Chrome, Mozilla Firefox）提交移除请求，在移除期间，你将无法通过常规方式让用户访问网站，因为浏览器会强制使用 HTTPS，在启用 preload 参数前，务必进行充分测试。
HSTS 能防止所有类型的网络攻破吗？DNS 截持或服务器被入侵？
解答：
不能，HSTS 仅解决传输层的安全问题，即防止数据在传输过程中被窃听或改动，以及防止协议降级攻破，它不能防止以下攻破：
- DNS 截持：如果攻破者改动了 DNS 解析结果，将域名指向恶意服务器，HSTS 无法阻止浏览器连接到错误的 IP 地址，如果恶意服务器没有有效的 SSL 证书，浏览器会发出安全警告，但这依赖于用户是否忽略警告。
- 服务器端漏洞：如果网站服务器本身存在 SQL 载入、XSS 等漏洞，HSTS 无法保护数据免受这些应用层攻破的影响。
- 钓鱼网站：如果攻破者注册了一个相似的域名（如 examp1e.com）并部署了合法的 SSL 证书，HSTS 不会阻止用户访问该钓鱼网站，因为 HSTS 策略是针对原始域名（example.com）的。
