使用HSTS协议强制浏览器使用HTTPS协议访问网站
2017年7月13日
没有评论
大家都知道网站启用SSL数字证书后使用HTTPS协议可以保证服务器与浏览器端数据加密，但与此同时不可避免另外一个问题，总存在部分用户会直接输入域名的方式访问网站，默认浏览器是使用HTTP协议访问网站的，此时即便网站启用了SSL数字证书，此时用户与服务器端的数据交互仍然使用的是明文传输方式，用户数据得不到保护，因为SSL数字证书没有生效。
可能你会说那不如直接关闭80端口吧（好吧，如果你是API等后台服务大可不必考虑前台用户访问的问题）或HTTP访问的时候直接跳转到HTTPS协议吧（直接跳转其实也存在『中间人』攻击风险），其实这个问题有更好的方案，这就是下面要介绍的
HSTS（HTTP Strict Transport Security），它是一个Web安全策略机制（web security policy mechanism），它通过服务器为HTTP响应增加如下一个Header 来让浏览器强制使用HTTPS与网站进行通信，以减少会话劫持风险：
Strict-Transport-Security:max-age=63072000; includeSubdomains; preload
只要在服务器返回给浏览器的响应头中，增加 Strict-Transport-Security这个HTTP Header 浏览器都将直接强制性的发起HTTPS请求，现在访问机制如下
