HTTP 严格传输安全Strict-Transport-Security的迷人世界
原文中文，约4600字，阅读约需11分钟。
📝
内容提要
本文介绍了混合内容如何破坏HTTP预览，以及如何使用HSTS标头和CSP防止路径攻击。同时，介绍了Google如何通过预加载HSTS设置来强制通过HTTPS提供.dev域名服务，并提醒用户设置HTTP预览时存在的安全隐患。
🎯
关键要点
-
混合内容会破坏HTTPS预览，导致安全隐患。
-
HSTS（HTTP严格传输安全）标头可以防止路径攻击。
-
大多数浏览器默认不允许HTTPS页面加载HTTP内容。
-
跨站点脚本（XSS）攻击可以通过不清理用户输入的评论实现。
-
内容安全策略（CSP）可以限制网页上可加载的内容来源。
-
路径攻击发生在攻击者可以操控HTTP请求时。
-
浏览器禁止加载混合内容以保护HTTPS的目的。
-
禁用HTTP请求的重定向可能会导致预览无法正常工作。
-
Google通过预加载HSTS设置强制所有.dev域名通过HTTPS提供服务。
-
购买不在HSTS预加载列表中的域名可以解决问题。
-
用户在创建HTTP预览时需意识到安全隐患，添加特殊标签以提醒用户。
🏷️
