什么是HSTS，为什么要使用它?
💡
原文中文，约3100字，阅读约需8分钟。
📝
内容提要
HSTS是一种只允许HTTPS连接的网站声明，防止中间人攻击和cookie劫持。通过响应头Strict-Transport-Security覆盖特定域名，但第一次访问不受保护。HSTS预加载列表是一种附加保护方法。从浏览器的HSTS缓存中删除域名需要特定步骤。
🎯
关键要点
- HSTS是HTTP严格传输安全的缩写，声明网站只能使用HTTPS连接。
- HSTS旨在防止中间人攻击和cookie劫持。
- HSTS通过响应头Strict-Transport-Security覆盖特定域名，首次访问不受保护。
- HSTS的工作原理是通过HTTP请求重定向到HTTPS，并在响应中提供HSTS头。
- HSTS头的max-age指示保护的持续时间，最大值为两年。
- HSTS预加载列表提供额外保护，确保网站在首次连接时也使用HTTPS。
- 添加域名到HSTS预加载列表需要满足特定要求，包括有效证书和HTTPS重定向。
- 从浏览器的HSTS缓存中删除域名需要特定步骤，且预加载列表中的域名无法通过清除缓存来绕过HSTS。
➡️
