HSTS 介绍
💡
原文中文，约2000字，阅读约需5分钟。
📝
内容提要
本文介绍了HSTS的作用和原理，通过在服务器响应头中添加Strict-Transport-Security，强制客户端使用HTTPS访问页面，避免中间人攻击。文章还提到了HSTS的语法和使用场景，并指出了HSTS存在的隐患。最后，介绍了如何加入到HSTS Preload List。
🎯
关键要点
- HSTS（HTTP Strict Transport Security）强制客户端使用HTTPS访问页面，防止中间人攻击。
- 通过在服务器响应头中添加Strict-Transport-Security，设置max-age来控制HSTS的有效期。
- HSTS语法包括max-age（必选）、includeSubDomains（可选）和preload（可选）。
- HTTPS可以防范中间人攻击，但用户习惯直接输入域名可能导致HTTP请求被攻击者监听。
- 使用HSTS时，浏览器会将HTTP请求自动转换为HTTPS请求，避免中间人攻击。
- HSTS仍存在隐患，特别是在首次访问网站时，攻击者可能利用这一瞬间。
- 解决方案是将域名加入HSTS Preload List，确保浏览器始终使用HTTPS。
- 配置HSTS需要在服务器配置文件中添加相应的响应头，注意max-age的设置。
- 加入HSTS Preload List的条件包括有效证书、重定向响应、所有子域名使用HTTPS等。
➡️
