HTTP 严格传输安全协议（HSTS, HTTP Strict Transport Security）是一种 Web 安全策略机制，旨在防止协议降级攻击和 Cookie 劫持，它允许 Web 服务器向浏览器声明，该网站只能使用 HTTPS 进行通信，从而强制浏览器在后续访问中始终使用加密连接。
核心功能与工作原理
HSTS 的核心作用在于“强制加密”，当用户首次访问一个支持 HSTS 的网站时，服务器会在 HTTP 响应头中返回 Strict-Transport-Security 字段，浏览器接收到该指令后，会将其记录在本地存储中，在规定的有效期内，无论用户手动输入 http:// 还是点击了未加密的链接，浏览器都会自动将其转换为 https:// 并发起请求，而不会先向服务器发送明文 HTTP 请求。
这一机制主要解决了以下两个关键安全问题：
- 防止协议降级攻击（Protocol Downgrade Attacks）：攻击者可能通过中间人（MITM）手段拦截用户的初始 HTTP 请求，并伪造响应，诱导用户停留在不安全的 HTTP 连接上，HSTS 确保浏览器在有效期内忽略任何 HTTP 重定向，直接尝试 HTTPS。
- 防止 Cookie 劫持与会话固定：在未启用 HSTS 的情况下，如果用户通过 HTTP 访问网站，会话 Cookie 可能会以明文形式传输，容易被窃听或篡改，HSTS 确保所有通信（包括 Cookie 传输）均在加密通道中进行。
HSTS 预加载列表（HSTS Preload List）
除了服务器端配置外,还有一个重要的概念是 HSTS 预加载列表，由于 HSTS 策略需要浏览器首次访问网站时才能从服务器获取，因此如果用户第一次访问该网站时遭遇攻击（DNS 劫持），HSTS 可能无法生效。
为了解决这个问题,Google Chrome、Firefox 等主流浏览器维护了一个内置的 HSTS 预加载列表，网站管理员可以主动申请将自己的域名加入此列表，一旦加入，浏览器在出厂或更新时就会内置该域名的 HSTS 策略，即使这是用户第一次访问该网站，浏览器也会强制使用 HTTPS。
HSTS 配置关键参数详解
在服务器端配置 HSTS 时，通常包含以下三个关键参数，理解它们的含义对于正确实施至关重要：
| 参数名称 | 说明 | 建议值/注意事项 |
|---|---|---|
max-age |
指定浏览器应记住 HSTS 策略的时间（以秒为单位）。 | 建议设置为至少 31536000 秒（1 年），设置过短会降低安全性，设置过长则难以撤销。 |
includeSubDomains |
可选指令，若存在，则 HSTS 策略适用于所有子域名。 | 强烈建议启用，如果启用了此指令，所有子域名也必须支持 HTTPS，否则用户访问子域名时会报错。 |
preload |
可选指令，若存在，表示网站希望被浏览器厂商加入 HSTS 预加载列表。 | 仅在确认所有子域名都支持 HTTPS 且准备好长期维持 HTTPS 时才启用，一旦加入预加载列表，撤销非常困难。 |
实施 HSTS 的步骤与注意事项
实施 HSTS 并非简单的“开启开关”，需要谨慎操作以避免服务中断。
- 确保 HTTPS 全面覆盖：在启用 HSTS 之前，必须确保网站的所有资源（包括图片、脚本、样式表等）都通过 HTTPS 加载，如果存在混合内容（Mixed Content），浏览器可能会阻止加载或发出警告，影响用户体验。
- 避免重定向循环：如果网站同时支持 HTTP 和 HTTPS，且配置了从 HTTP 到 HTTPS 的 301 重定向，在启用 HSTS 初期可能会导致问题，最佳实践是：先部署 HTTPS，确保所有功能正常，然后添加 HSTS 头，最后再移除 HTTP 的重定向或直接禁用 HTTP 监听。
- 子域名管理：如果使用了
includeSubDomains，必须确保所有子域名都配置了有效的 SSL/TLS 证书，否则，用户访问未配置证书的子域名时，浏览器将显示安全警告，导致访问失败。 - 撤销策略：如果误启用 HSTS 或需要移除 HTTPS，必须等待
max-age过期后，浏览器才会重新接受 HTTP 连接，在设置max-age时，应考虑到可能的故障恢复时间。
常见问题与解答
问题 1：HSTS 能防止所有类型的中间人攻击吗？
解答：
HSTS 主要防止的是协议降级攻击和窃听，它确保浏览器与服务器之间的通信是加密的，并且防止攻击者将 HTTPS 连接降级为 HTTP，HSTS 不能防止以下情况：
- 服务器证书无效或受信任的恶意证书：如果攻击者拥有受操作系统或浏览器信任的恶意根证书，他们仍然可以伪造 HTTPS 连接（尽管现代浏览器和 HSTS 预加载列表对此有更强的防御机制）。
- 客户端恶意软件：如果用户设备上安装了恶意软件，它可能绕过浏览器的安全机制，直接拦截或修改流量。
- 应用层攻击：如 SQL 注入、跨站脚本（XSS）等，这些攻击与传输层加密无关，HSTS 无法防御。
问题 2：为什么有些网站启用了 HSTS 但用户仍然会看到“不安全”的警告？
解答：
这通常由以下几种原因导致：
- 证书问题：网站的 SSL/TLS 证书已过期、域名不匹配或自签名证书未被浏览器信任，HSTS 只强制使用 HTTPS，但无法修复无效的证书。
- ：虽然页面本身通过 HTTPS 加载，但页面中引用的某些资源（如图片、脚本）仍通过 HTTP 加载，现代浏览器会将此类页面标记为“部分不安全”或阻止加载这些资源。
- HSTS 预加载列表中的错误配置：如果网站被加入预加载列表，但实际配置中某个子域名不支持 HTTPS 或证书无效，用户访问该子域名时会直接收到错误页面，因为浏览器会强制使用 HTTPS 且不会尝试降级。
- 浏览器缓存问题：有时浏览器的 HSTS 策略缓存可能出现异常，尝试清除浏览器缓存或重启浏览器可能解决此问题。
原创文章，发布者：酷盾叔，转转请注明出处：https://www.kd.cn/ask/491266.html
