上一篇
HTTP严格传输安全协议啥意思？HSTS协议有什么用
HTTP 严格传输安全协议（HTTP Strict Transport Security，简称 HSTS）是一种 Web 安全策略机制，旨在保护网站通信免受中间人攻破（MITM）和协议降级攻破，它强制浏览器在后续访问中始终使用 HTTPS 加密连接，即使你手动输入了 http:// 或者点击了未加密的链接。
核心概念解析
在理解 HSTS 之前，我们需要明白它解决的核心痛点：协议降级攻破。
在传统的 HTTP/HTTPS 混合环境中，如果用户访问一个支持 HTTPS 的网站，但最初通过 HTTP 发起请求，浏览器会先连接到服务器，攻破者可以拦截这个初始请求，将响应中的 HTTPS 重定向（302 Redirect）替换为指向恶意页面的 HTTP 链接，或者简单地阻止 HTTPS 连接，迫使浏览器回退到不安全的 HTTP，HSTS 就是为了解决这一“第一次访问”的不安全性而设计的。
HSTS 的工作原理
HSTS 的工作流程依赖于服务器向浏览器发送的一个特殊响应头，其具体步骤如下：
- 初始 HTTPS 连接：用户首次访问支持 HSTS 的网站时，必须通过 HTTPS 建立连接。
- 服务器发送 HSTS 头：服务器在响应中包含 Strict-Transport-Security 头部字段。
- 浏览器缓存策略：浏览器接收到该头部后，会在本地存储该策略，记录该域名以及策略的有效时长（max-age）。
- 强制 HTTPS：在 max-age 指定的时间内，无论用户输入 http:// 还是点击 HTTP 链接，浏览器都会自动将其转换为 https:// 并在本地发起请求，不再向服务器发送任何 HTTP 请求。
关键参数详解
Strict-Transport-Security 头部通常包含以下关键参数：
| 参数名 | 说明 | 示例值 |
|---|---|---|
| max-age | 浏览器应记住 HSTS 策略的秒数，这是必填参数。 | max-age=31536000 (1年) |
| includeSubDomains | 可选参数，如果存在，策略将应用于该域名下的所有子域名。 | includeSubDomains |
| preload | 可选参数，请求浏览器厂商将该域名加入内置的 HSTS 预加载列表中。 | preload |
为什么需要 HSTS？
- 防止 SSL 剥离攻破：攻破者无法将 HTTPS 流量降级为 HTTP，因为浏览器在本地就已经知道必须使用 HTTPS。
- 提升安全性：确保所有通信都是加密的，防止数据被窃听或改动。
- 减少中间人攻破风险：即使用户不小心输入了错误的 URL 或点击了恶意链接，浏览器也会强制尝试 HTTPS 连接。
如何启用 HSTS？
服务器配置示例
Nginx 配置：
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
Apache 配置：
HSTS 预加载列表（HSTS Preload List）
仅靠服务器发送 HSTS 头只能保护那些曾经访问过该网站的用户，为了彻底解决“首次访问”的问题，浏览器厂商（如 Chrome、Firefox、Safari）维护了一个内置的 HSTS 预加载列表。
- 作用：即使浏览器从未访问过该网站，只要域名在预加载列表中，浏览器在发起任何 HTTP 请求时都会自动升级为 HTTPS。
- 申请方式：网站管理员需满足严格条件（如所有子域名都启用 HTTPS、设置合理的 max-age 等），然后提交至 hstspreload.org 进行审核。
- 注意：一旦加入预加载列表，很难移除，且可能导致无法访问该域名的 HTTP 服务。
潜在风险与注意事项
尽管 HSTS 极大地提升了安全性，但也存在一些需要注意的地方：
- 锁定效应：如果用户误将域名输入为 http://，HSTS 会强制转换为 https://，如果服务器未正确配置 HTTPS，用户将无法访问网站。
- 证书过期问题：如果网站的 SSL/TLS 证书过期，HSTS 会导致浏览器直接拒绝连接，用户无法通过忽略警告来访问网站，这可能影响紧急访问。
- 内部网络问题：在企业内网中，如果存在中间代理进行 SSL 卸载或拦截，HSTS 可能导致内部应用访问失败。
相关问题与解答
问题 1：HSTS 和普通的 HTTPS 重定向有什么区别？
解答：
普通的 HTTPS 重定向（如 301 或 302 跳转）是在服务器端完成的，当用户通过 HTTP 访问时，服务器返回一个重定向响应，告诉浏览器去访问 HTTPS 地址，这个过程是不安全的，因为攻破者可以在重定向发生前拦截请求，阻止 HTTPS 跳转，或者将重定向指向恶意网站。
而 HSTS 是在浏览器端强制执行的，一旦浏览器缓存了 HSTS 策略，它会在本地将 HTTP 请求直接转换为 HTTPS 请求，根本不会向服务器发送 HTTP 请求，攻破者无法拦截或改动这个转换过程，从而彻底杜绝了协议降级攻破。
问题 2：如果我想让所有子域名都受 HSTS 保护，应该如何配置？
解答：
要在响应头中包含 includeSubDomains 参数。
Strict-Transport-Security: max-age=31536000; includeSubDomains
这意味着,不仅 example.com 受保护，其所有子域名（如 www.example.com、api.example.com、mail.example.com 等）在 max-age 指定的时间内也必须使用 HTTPS，需要注意的是，启用此参数后，所有子域名都必须正确配置有效的 SSL 证书，否则用户访问这些子域名时会遇到安全警告。
