Nginx 开启 HSTS 让浏览器强制跳转HTTPS访问

什么是 HSTS 可以查看这篇文章：https://blog.csdn.net/edsoki/article/details/105641233

 

nginx重定向到https

server {
  listen xxx.abc.com;
  server_name xxx.abc.com;
  rewrite ^/(.*)$ https://$host$1 permanent;
}

nginx完整的配置代码如下：

server {
  listen xxx.abc.com;
  server_name xxx.abc.com;
  rewrite ^/(.*)$ https://$host$1 permanent;
}

server {
  listen       443 ssl;
  server_name  xxx.abc.com;

  ssl_certificate      cert/server.crt;
  ssl_certificate_key  cert/server.key;

  ssl_session_cache    shared:SSL:1m;
  ssl_session_timeout  5m;

  ssl_ciphers  HIGH:!aNULL:!MD5;
  ssl_prefer_server_ciphers  on;

  location / {
    proxy_pass http://localhost:3001;
  }
}

HSTS的基本语法如下：

Strict-Transport-Security: max-age=expireTime [; includeSubDomains] [; preload]

max-age 是必须的参数，它是一个以秒为单位的数值，它代表着HSTS Header的过期时间，一般设置为1年，即 31536000秒。
includeSubDomains 是可选参数，如果设置该参数的话，那么意味着当前域名及其子域名均开启HSTS的保护。
preload 是可选参数，只有当你申请将自己的域名加入到浏览器内置列表的时候才需要使用到它。

nginx下配置HSTS

在nginx配置文件上设置HSTS响应头部，代码如下：

add_header Strict-Transport-Security "max-age=172800; includeSubDomains"

因此nginx的完整配置如下：

server {
  listen xxx.abc.com;
  server_name xxx.abc.com;
  rewrite ^/(.*)$ https://$host$1 permanent;
}

server {
  listen       443 ssl;
  server_name  xxx.abc.com;
  add_header Strict-Transport-Security "max-age=172800; includeSubDomains";
  ssl_certificate      cert/server.crt;
  ssl_certificate_key  cert/server.key;

  ssl_session_cache    shared:SSL:1m;
  ssl_session_timeout  5m;

  ssl_ciphers  HIGH:!aNULL:!MD5;
  ssl_prefer_server_ciphers  on;

  location / {
    proxy_pass http://localhost:3001;
  }
}

然后保存nginx配置，并且重启

当我重启后，第一次使用https方式访问我的网站，nginx会告诉客户端浏览器，以后如果用户输入的是http，也要让浏览器以https来访问我的nginx服务器，如下所示：

但是如果nginx重启后，第一次使用http访问的话，虽然跳转了，但是并没有使用HSTS了，因为要跳转到https，才会使用HSTS。但是当我再输入http了就会有307状态码，并且有 "Provisional headers are shown" 这样的提示。