Nginx 的strict-transport-security

（缩写为HSTS）是什么？它有什么作用？

Strict-Transport-Security（STS）是一种安全策略机制，可确保浏览器始终通过HTTPS安全连接访问网站。当服务端启用HSTS机制后，浏览器将会强制使用HTTPS与该网站保持通讯一段时间，通常为90天。这可以减少中间人攻击（Man-in-the-middle-attacks）风险、防止Cookie劫持攻击并提高用户浏览器的安全性。当浏览器第一次访问该网站时，服务端将可在HTTP响应头中传递Strict-Transport-Security头信息，来通知浏览器使用HTTPS连接该站点。

相关问题

nginx Strict-Transport-Security响应头缺失

如果nginx服务器缺少Strict-Transport-Security（STS）响应头，则可能存在安全风险，因为这可以防止中间人攻击（MITM）和SSL剥离攻击。

要添加STS响应头，请在nginx配置文件中添加以下行：

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload";

这将在响应头中添加Strict-Transport-Security，并将其设置为最大年龄为一年，并包括所有子域和预加载。可以根据需要更改max-age值。

在添加响应头之前，请确保您的网站使用HTTPS协议，否则将无法使用STS响应头。

nginx中在哪个位置进行配置 Strict-Transport-Security

在nginx中，可以在HTTP服务器块或特定的站点服务器块中配置Strict-Transport-Security（HSTS）。

在HTTP服务器块中配置：

http {
    # ...
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
    # ...
}

在站点服务器块中配置：

server {
    # ...
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
    # ...
}

其中，max-age指令定义了HSTS策略的时间，单位为秒。includeSubDomains指令告诉浏览器该策略适用于所有子域名。preload指令可以将网站提交至HSTS预加载列表，以便浏览器在第一次访问网站时就强制使用HTTPS连接。

请注意，HSTS是一个安全特性，因此必须使用HTTPS连接进行配置和传输。