HTTP严格传输安全头部是Web服务从HTTP向HTTPS迁移过程中不可或缺的防护措施。当用户通过HTTP协议访问网站时，中间人攻击者可以劫持请求并阻止升级到HTTPS。HSTS通过响应头指令要求浏览器在指定时间内始终使用HTTPS访问该域名，从源头上消除协议降级的可能性。正确配置HSTS需要理解各参数含义并评估潜在风险，本文将逐项展开说明。
核心参数详解
HSTS头部的基本语法为Strict-Transport-Security: max-age=31536000; includeSubDomains; preload。max-age以秒为单位指定浏览器强制使用HTTPS的时间窗口，31536000秒对应一年。首次部署时建议设置较短的max-age值如三百秒，验证站点所有页面和资源都能正常通过HTTPS加载后，再逐步延长至一年。这个验证阶段非常关键，因为一旦浏览器缓存了HSTS策略，在max-age过期前无法通过服务端撤销。includeSubDomains参数将策略扩展到所有子域名，使用前必须确认所有子域名都已部署HTTPS且证书配置正确，否则会导致子域名不可访问。preload参数用于声明站点希望被加入浏览器内置的HSTS预加载列表，该参数必须与特定条件配合使用。
与301重定向的协同
许多站点在部署HSTS的同时会配置HTTP到HTTPS的三零一重定向，两者的执行顺序需要注意。浏览器首次访问时尚未缓存HSTS策略，此时HTTP请求到达服务器后被重定向到HTTPS，这是正常的。但第二次访问时浏览器会直接将HTTP请求在本地升级为HTTPS，跳过重定向环节。因此服务端的重定向配置不能移除，它服务于首次访问的用户。重定向规则应当使用三零一永久重定向而非三零二临时重定向，确保搜索引擎正确索引HTTPS版本。同时重定向响应中也应携带HSTS头部，避免在重定向过程中出现安全空窗。
preload列表申请
HSTS的一个固有局限是首次访问不受保护，攻击者可以在浏览器缓存策略之前劫持请求。为解决这一问题，Chrome维护了一份内置的HSTS preload列表，浏览器出厂时即携带该列表，确保用户首次访问也能获得HSTS保护。申请加入preload列表需要满足以下条件：HTTPS站点在所有域名和子域名上正常运行；HSTS头部设置max-age至少为一年且包含includeSubDomains；头部中包含preload参数。通过hstspreload.org提交申请后，审核周期通常为数周至数月。加入后移除申请较为困难，务必确保配置稳定后再提交。
常见配置错误排查
实际部署中常见的错误包括：在HTTP响应中返回HSTS头部（规范要求仅在HTTPS响应中传递）；忽略了混合内容问题导致HSTS生效后部分资源加载失败；CDN回源使用HTTP导致边缘节点无法获取HSTS头部。排查时可使用浏览器开发者工具检查响应头是否正确返回，同时用SSL Labs的SSL测试工具验证HSTS状态。对于混合内容问题，需要在页面模板中统一使用协议相对URL或直接使用HTTPS路径引用所有静态资源。CDN层面需要确保回源协议与客户端协议一致，或在CDN边缘节点直接注入HSTS头部。