Nginx Proxy Manager HSTS配置：强制使用HTTPS的安全策略-CSDN博客

Nginx Proxy Manager HSTS配置：强制使用HTTPS的安全策略

【免费下载链接】nginx-proxy-manager 项目地址: https://gitcode.com/gh_mirrors/ngi/nginx-proxy-manager

你是否还在为网站的HTTPS强制实施而烦恼？是否担心用户通过不安全的HTTP连接访问你的服务？本文将详细介绍如何在Nginx Proxy Manager中配置HSTS（HTTP Strict Transport Security，HTTP严格传输安全）策略，一步解决HTTPS强制实施问题。读完本文，你将了解HSTS的工作原理、配置方法以及在Nginx Proxy Manager中的具体实现，让你的网站安全防护再升一级。

HSTS简介

HSTS是一种安全策略机制，它允许Web服务器告诉浏览器只能通过HTTPS（Hypertext Transfer Protocol Secure，超文本传输安全协议）来访问自己。一旦浏览器接收到HSTS头信息，在指定的时间内，无论用户输入的是HTTP URL还是点击了HTTP链接，浏览器都会自动将其转换为HTTPS请求，从而有效防止中间人攻击和协议降级攻击。

Nginx Proxy Manager中的HSTS实现

Nginx Proxy Manager通过模板文件和数据库迁移来实现HSTS功能。相关的核心文件如下：

HSTS配置模板

HSTS的配置模板位于backend/templates/_hsts.conf，其内容如下：

{% if certificate and certificate_id > 0 -%}
{% if ssl_forced == 1 or ssl_forced == true %}
{% if hsts_enabled == 1 or hsts_enabled == true %}
  # HSTS (ngx_http_headers_module is required) (63072000 seconds = 2 years)
  add_header Strict-Transport-Security $hsts_header always;
{% endif %}
{% endif %}
{% endif %}

从模板中可以看出，HSTS配置的生效需要满足以下条件：

存在有效的SSL证书（certificate_id > 0）
强制启用SSL（ssl_forced == 1 或 ssl_forced == true）
HSTS功能已启用（hsts_enabled == 1 或 hsts_enabled == true）

当以上条件都满足时，Nginx会添加Strict-Transport-Security响应头，其中$hsts_header变量包含了HSTS的具体配置。

数据库迁移文件

为了支持HSTS配置，Nginx Proxy Manager在数据库中添加了相关字段。数据库迁移文件位于backend/migrations/20190218060101_hsts.js，该文件主要在proxy_host、redirection_host和dead_host表中添加了hsts_enabled和hsts_subdomains字段：

exports.up = function (knex) {
  return knex.schema.table('proxy_host', function (proxy_host) {
    proxy_host.integer('hsts_enabled').notNull().unsigned().defaultTo(0);
    proxy_host.integer('hsts_subdomains').notNull().unsigned().defaultTo(0);
  })
  .then(() => {
    return knex.schema.table('redirection_host', function (redirection_host) {
      redirection_host.integer('hsts_enabled').notNull().unsigned().defaultTo(0);
      redirection_host.integer('hsts_subdomains').notNull().unsigned().defaultTo(0);
    });
  })
  .then(() => {
    return knex.schema.table('dead_host', function (dead_host) {
      dead_host.integer('hsts_enabled').notNull().unsigned().defaultTo(0);
      dead_host.integer('hsts_subdomains').notNull().unsigned().defaultTo(0);
    });
  });
};

这些字段用于存储HSTS的启用状态和是否包含子域名的配置。

HSTS配置步骤

在Nginx Proxy Manager中配置HSTS非常简单，以下是具体步骤：

1. 准备工作

确保你已经在Nginx Proxy Manager中添加了代理主机、重定向主机或失效主机，并且已经为其配置了SSL证书。

2. 访问HSTS配置界面

根据你要配置的主机类型（代理主机、重定向主机或失效主机），进入相应的编辑页面。在编辑页面中，你可以找到HSTS相关的配置选项。

以代理主机为例，相关的前端代码位于frontend/js/app/nginx/proxy/form.js，其中定义了HSTS启用状态的UI元素和事件处理：

// 定义HSTS启用状态的UI元素
ui: {
  hsts_enabled: 'input[name="hsts_enabled"]',
  // 其他UI元素...
},

// HSTS启用状态变化事件处理
'change @ui.hsts_enabled': function () {
  let checked = this.ui.hsts_enabled.prop('checked');
  // 根据勾选状态显示或隐藏其他HSTS相关选项...
}

3. 启用HSTS并配置参数

在HSTS配置区域，勾选"启用HSTS"复选框。此时，你可以进一步配置HSTS的参数，如过期时间和是否包含子域名。

相关的模型定义文件（如frontend/js/models/proxy-host.js）中定义了HSTS相关的属性：

defaults: {
  // 其他属性...
  hsts_enabled: false,
  hsts_subdomains: false,
  // 其他属性...
}

4. 保存配置并应用

完成HSTS参数配置后，点击保存按钮。Nginx Proxy Manager会根据backend/templates/_hsts.conf模板生成相应的Nginx配置，并重新加载Nginx服务，使HSTS配置生效。

HSTS配置注意事项

在配置HSTS时，需要注意以下几点：

1. 谨慎设置HSTS过期时间

HSTS头中的过期时间一旦设置，在过期之前，浏览器都会强制使用HTTPS访问网站。因此，建议在初期设置较短的过期时间（如几天或几周），测试无误后再延长到较长时间（如几年）。

2. 考虑是否包含子域名

如果勾选了"包含子域名"选项，HSTS策略将应用于所有子域名。这增加了安全性，但也需要确保所有子域名都支持HTTPS。

3. 注意浏览器兼容性

虽然大多数现代浏览器都支持HSTS，但仍有一些旧版本浏览器可能不支持。因此，在启用HSTS的同时，仍需要配置HTTP到HTTPS的重定向，以确保兼容性。

4. 测试HSTS配置

配置完成后，可以使用在线工具或浏览器开发者工具检查HSTS头是否正确返回。例如，在Chrome浏览器中，可以通过"开发者工具 > 网络 > 选择请求 > 响应头"查看Strict-Transport-Security头是否存在及其值是否正确。

总结

通过配置HSTS，你可以强制浏览器使用HTTPS访问你的网站，有效提升网站的安全性。Nginx Proxy Manager通过模板文件、数据库迁移和前端界面的配合，使得HSTS配置变得简单易用。

在实际应用中，建议结合具体的业务需求和安全要求，合理配置HSTS参数，并进行充分的测试，以确保HSTS策略的正确实施和网站的安全稳定运行。

希望本文能够帮助你更好地理解和配置Nginx Proxy Manager中的HSTS功能。如果你在配置过程中遇到问题，可以参考Nginx Proxy Manager的官方文档或相关源码文件，获取更详细的信息。

【免费下载链接】nginx-proxy-manager 项目地址: https://gitcode.com/gh_mirrors/ngi/nginx-proxy-manager

创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考