先前一篇博客中咱們已經(jīng)說到，全網(wǎng) HTTPS 已是大勢所趨，多數(shù)網(wǎng)站都已經(jīng)支持 HTTPS 訪問，但是在由 HTTP 轉(zhuǎn)向 HTTPS 路程中，不少網(wǎng)站管理員都會面臨一些不可避免的問題：

1、用戶使用習(xí)慣：通常咱們準(zhǔn)備訪問某個(gè)網(wǎng)站時(shí)，在瀏覽器中只會輸入一個(gè)域名，并不會在域名前面加上 http:// 或者 https://，而是由瀏覽器自動填充的，當(dāng)前所有瀏覽器默認(rèn)填充的都是http://。

所以網(wǎng)站管理員采用了一個(gè)方法，通過使用301/302跳轉(zhuǎn)的方式，由 http 跳轉(zhuǎn)到 https，如下圖所示：

2、耗時(shí)較多：上述跳轉(zhuǎn)增加了一次瀏覽器與服務(wù)器的交互過程，所以加長了用戶的訪問與等待時(shí)間，影響了用戶體驗(yàn)。

3、不安全：上述跳轉(zhuǎn)是由 http 跳轉(zhuǎn)到 https，其中還是用到了 http，因此容易發(fā)生劫持，遭受第三方攻擊，如下圖所示：

4、通常情況下，當(dāng)用戶訪問到不安全的 https 網(wǎng)址時(shí)，瀏覽器會提示用戶當(dāng)前訪問的網(wǎng)站不安全，但是還是允許用戶在了解安全風(fēng)險(xiǎn)之后繼續(xù)訪問，如果用戶繼續(xù)，就會面臨數(shù)據(jù)泄密的風(fēng)險(xiǎn)。如下所示：

HSTS功能描述

面對上述問題，網(wǎng)站管理員比是比較頭大，好在 HSTS 的出現(xiàn)使得上述問題得以迎刃而解。

1、HSTS 詳情

HSTS 理解起來也比較容易，它是通過服務(wù)器發(fā)送一個(gè)響應(yīng)頭的方式來控制瀏覽器操作的，咱們先來看一下 HSTS 響應(yīng)頭的構(gòu)成：

Strict-Transport-Security: max-age=expireTime [; includeSubDomains] [; preload]

此響應(yīng)頭只有在?https 訪問返回時(shí)才生效，其中[ ]中的參數(shù)表示可選

max-age：HSTS 功能生效時(shí)間，單位是秒，也就是說在這段時(shí)間內(nèi)，瀏覽器將始終強(qiáng)制采用 HTTPS 來訪問相應(yīng)的網(wǎng)址

includeSubDomains：如果指定，則表示域名（例如：upyun.com）對應(yīng)的每個(gè)子域名（例如：www.upyun.com 或 123.example.upyun.com），瀏覽器在訪問時(shí)也都會強(qiáng)制采用?HTTPS 進(jìn)行訪問

preload：如果指定，則表示此域名同意申請加入由 Google 發(fā)起的 Preload List，申請地址。

舉例如下：

2、實(shí)現(xiàn)方式

上述說明，可能不是很好理解，那咱們就拿一個(gè)實(shí)際的例子來說明一下：

1) 當(dāng)只有 max-age 參數(shù)時(shí)，設(shè)置時(shí)間為 300 秒

作用是：在這300秒內(nèi)，只要用戶在瀏覽器中輸入 ?zzx1…..club/123.gif ，則瀏覽器會自動強(qiáng)制使用?https://zzx1….club/123.gif 進(jìn)行訪問

（注意：這里的時(shí)間設(shè)置不宜過長，一般建議為6個(gè)月。

? ? ? ? ? ? ?如果設(shè)置很長，而域名某天不再使用https，且時(shí)間并未過期，則將導(dǎo)致用戶無法訪問）

大家抓包時(shí)可能會發(fā)現(xiàn)，有一個(gè) 307 的狀態(tài)碼，這個(gè)和上述 301/302 狀態(tài)碼不同，它并不是服務(wù)器返回的，而是瀏覽器本地自動生成，即在瀏覽器本地自動發(fā)生了 http 到 https 的跳轉(zhuǎn)，與網(wǎng)站服務(wù)器沒有任何交互。

響應(yīng)頭中：Non-Authoritative-Reason:HSTS，也標(biāo)明了是因?yàn)?HSTS 功能的緣故，導(dǎo)致瀏覽器本地發(fā)生了 http 到 https 的跳轉(zhuǎn)。

2）當(dāng)有?includeSubDomains 參數(shù)時(shí)

作用是告訴瀏覽器，當(dāng)用戶訪問域名的（例如：upyun.com）每個(gè)子域名（例如：www.upyun.com 或 123.example.upyun.com）時(shí)，瀏覽器也必須強(qiáng)制采用?HTTPS 進(jìn)行訪問。

注意：如上所述，此參數(shù)影響范圍較大，如果某些子域名沒有啟用 https，則將導(dǎo)致無法訪問，所以添加請謹(jǐn)慎！

例如：域名 zzx…..club? ?響應(yīng)頭中添加了：includeSubDomains

而子域名 www.zzx….club ?中并未設(shè)置?HSTS 的響應(yīng)頭，?但當(dāng)用戶訪問子域名 ?www.zzx….club/123.gif ?時(shí)，瀏覽器同樣也會強(qiáng)制采用 https://www.zzx….club/123.gif 來進(jìn)行訪問，如下圖所示

3）當(dāng)有?preload 參數(shù)時(shí)

此參數(shù)標(biāo)明：本域名同意加入由 Google 發(fā)起的 Preload List，申請地址。

咱們先說一下這個(gè)列表是干啥用的：

HSTS 的響應(yīng)頭是由服務(wù)器返回的，所以用戶需要首先發(fā)起訪問，然后才能獲取到這個(gè)響應(yīng)頭，之后瀏覽器才可以根據(jù)這個(gè)響應(yīng)頭進(jìn)行相應(yīng)的強(qiáng)制 https 訪問操作了。

然而當(dāng)用戶第一次發(fā)起訪問時(shí)，瀏覽器中輸入 www.zzx….club，?這個(gè)時(shí)候?yàn)g覽器是沒有此域名相關(guān)的?HSTS 響應(yīng)頭的，所以也就無法強(qiáng)制用 https 訪問了。那服務(wù)器收到的就是用戶 ?http 請求，然后服務(wù)器返回 301/302 告訴瀏覽器跳轉(zhuǎn)到 https://www.zzx….club 進(jìn)行訪問，瀏覽器收到301/302后，使用 https://www.zzx….club 再次發(fā)起訪問，服務(wù)器收到了用戶的 https 請求，則返回 HSTS 的響應(yīng)頭，此時(shí)瀏覽器才能收到域名對應(yīng)的 HSTS 響應(yīng)頭。

從上述過程中可以看到，用戶第一次訪問時(shí)，仍然無法避免進(jìn)行一次 301/302 跳轉(zhuǎn)，那也就是說，還是有可能被第三方攻擊的。那怎么辦呢？

這時(shí)就需要用到 Google 維護(hù)的一個(gè)域名列表（Preload List）了，同時(shí) Google 將這個(gè)列表硬編碼嵌入到了?chrome 瀏覽器中，只要加入到這個(gè)列表中的域名，當(dāng)使用 chrome 訪問時(shí)，chrome 就會自動將這個(gè)域名強(qiáng)制使用 https 進(jìn)行訪問。

也就是說，某個(gè)域名即使是用戶第一次訪問，也會被 chrome 強(qiáng)制轉(zhuǎn)換為 https 再訪問，這樣也就避免了首次訪問時(shí)的第三方攻擊。

注意：除非網(wǎng)站打算長久使用 https，否則請勿隨意加入，因?Preload List 是硬編碼進(jìn)入瀏覽器中的，所以更新迭代比較慢，如果加入后想退出，時(shí)間耗時(shí)會比較長，需要等瀏覽器版本更新（當(dāng)前采用此列表的瀏覽器有：Chrome,?Firefox, Opera, Safari,?IE 11 and Edge?等）

? ? ? ? ? 申請加入Preload List時(shí)，Google 并不會判定申請人是否是域名所有者，因此，為了防止別人惡意將您的域名加入 Preload List，所以 preload 參數(shù)請勿隨意添加到域名的響應(yīng)頭中。

申請加入這個(gè)列表時(shí)，步驟也比較簡單，?網(wǎng)站?上的說明也非常清楚，我們這里就不一一闡述了，大家一步一步來就可以了。舉例如下：

4）當(dāng)網(wǎng)站開啟 HSTS 后，用戶將不能忽略瀏覽器的不安全提示，無法繼續(xù)訪問不安全鏈接，因此可以進(jìn)一步保護(hù)用戶的數(shù)據(jù)安全，如下：

關(guān)于HSTS使用總結(jié)

對于那些安全性要求較高的網(wǎng)站，HSTS 無疑是一個(gè)不錯(cuò)的選擇，啟用這項(xiàng)功能后，當(dāng)用戶訪問網(wǎng)站域名時(shí)，市面上主流瀏覽器都會強(qiáng)制性地使用 HTTPS 來請求網(wǎng)站資源，可以更加有效地保護(hù)網(wǎng)站和用戶的數(shù)據(jù)安全。

綜上所述，開啟 HSTS 后，上述背景中提到的?1、2、3、4 ?問題都可得到很好的解決。

最后再強(qiáng)調(diào)一點(diǎn)：

HSTS 的出現(xiàn)，在帶來安全、便捷的同時(shí)，咱們也需要謹(jǐn)慎操作，因?yàn)槿绻硞€(gè)參數(shù)設(shè)置不當(dāng)，就有可能將導(dǎo)致網(wǎng)站長時(shí)間無法訪問，那損失就大了。

所以只要咱們能夠分析明白、理解透徹，根據(jù)自身情況，合理設(shè)置每個(gè)參數(shù)，就可以達(dá)到預(yù)想的效果，既能保證安全，又可以提升網(wǎng)站訪問效率。

小結(jié)

1、開啟 HSTS 以后，可以到?ssllabs?做一下測試，網(wǎng)站的安全等級會進(jìn)一步提升

開啟前等級為：A

開啟后等級變?yōu)椋篈+

2、目前支持?HSTS 的瀏覽器如下：（對于那些不支持的瀏覽器，會忽略此響應(yīng)頭，對用戶的訪問無影響，可以不用擔(dān)心）