HTTP Strict Transport Security（HSTS）严格传输安全是一种安全机制，有助于保护网站免受中间人攻击 man-in-the-middle attacks（MITMs）。它指示浏览器只连接到使用 HTTPS 的网站，并且永远不要降级到 HTTP。

本文将详细介绍如何在 Nginx Web 服务器上开启 HSTS，从而于保护网站免受中间人攻击。

打开 Nginx 配置文件

此文件的位置可能会因您的操作系统和 Nginx 设置而有所不同。在基于 Debian 的系统上，该文件通常位于 /etc/nginx/nginx.conf 目录。

sudo nano /etc/nginx/nginx.conf

将 HSTS 头添加到配置文件

将 HSTS 头添加到 Nginx 配置文件中，下面是示例：

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload";

参数说明如下：

• max-age : 该参数指定浏览器应该记住 HSTS 策略的时间。
• includeSubDomains : 该参数指定 HSTS 策略应用于该域的所有子域。
• preload : 该参数告诉浏览器将 HSTS 策略永久缓存。

添加 HSTS 到配置文件后，你需要重启 Nginx 服务器。

sudo service nginx restart

启用了 HSTS 后，就可以进行测试了，浏览器应该显示一个消息，表明该网站正在使用 HSTS

例如，在 Google Chrome 浏览器中，你会看到一条消息："This connection is protected by HSTS"

我的开源项目

• course-tencent-cloud（酷瓜云课堂 - gitee 仓库）
• course-tencent-cloud（酷瓜云课堂 - github 仓库）