开发者社区> vTrus> 正文
阿里云
为了无法计算的价值
打开APP
阿里云APP内打开

解码Nginx如何快速实现HSTS跳转

简介: Nginx如何快速实现HSTS跳转的方法
+关注继续查看

什么是HSTS
HSTS是国际互联网工程组织 IETF 正在推行一种新的Web安全协议,网站采用HSTS后,用户访问时无需手动在地址栏中输入 HTTPS,浏览器会自动采用 HTTPS 访问网站地址,从而保证用户始终访问到网站的加密链接,保护数据传输安全。

浏览器版本支持
Chromium和Google Chrome从4.0.211.0版本开始支持HSTS

Firefox 4及以上版本

Opera 12及以上版本

Safari从OS X Mavericks起

Internet Explorer从Windows 10技术预览版开始支持,之后微软又向IE11用户推送了支持HSTS的更新。

HSTS的优点和缺点

优点:

  • 比传统的302重定向更加安全,不会被劫持;
  • 对访问速度有提示,302 跳转需要一个 RTT消耗,浏览器执行跳转也需要时间。

缺点

  • 用户首次访问某网站是不受HSTS保护的。这是因为首次访问时,浏览器还未收到HSTS,所以仍有可能通过明文HTTP来访问。
  • HSTS会在一定时间段后失效,需要手动设置缓存期。

操作步骤

server {
    listen 80 ;
    server_name www.itrus.cn;

    # 避免首次访问不跳转的情况,使用301重定向进行跳转
    return 301 https://$host;

}

server {
    listen 443 ssl;
    server_name www.itrus.cn;

    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    location /servlet {
        add_header X-Served-By "My Servlet Handler";
        add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
        proxy_pass http://localhost:8080;
    }

}

配置修改完成后,需要重启nginx服务规则才会生效。

注释:

可选的参数:includeSubDomains 设置该策略适用于当前域下的所有子域
参数:max-age=31536000 设置该策略缓存时间为31536000秒(1年)
一旦设置启动HSTS策略,功能会在由max-age指定缓冲期中持续生效。在此期间,浏览器将会拒绝通过以HTTP访问web服务,并同时拒绝证书错误的例外选项。*

302重定向设置方式

如果暂时继续使用302方式进行重定向跳转,请参考以下代码在http站点配置中添加。

server { 
        listen 80; 
        server_name www.itrus.cn; 
        rewrite ^(.*)$ https://$host$1 permanent; 
}

或者

       if ($scheme = http) {
        return   301 https://$host$request_uri;
    }

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
CentOS7安装Nginx、MySQL、PHP
之前才网上找了好多文章,但是配置总会出错,后来傻傻的发现官方文档都有的,当然配合网上文章说明更好,因此本文只说一个大概 安装PHP 官方配置 配置用户和用户组,需要有根目录权限 vim /usr/local/etc/php-fpm.
982 0
CentOS配置Nginx官方的Yum源 及yum安装php
由于yum源中没有我们想要的nginx,那么我们就需要创建一个“/etc/yum.repos.d/nginx.repo”的文件,其实就是新增一个yum源。 [root@niaoyun~]# vim /etc/yum.
5106 0
+关注
39
文章
31
问答
文章排行榜
最热
最新
相关电子书
更多
低代码开发师(初级)实战教程
立即下载
阿里巴巴DevOps 最佳实践手册
立即下载
冬季实战营第三期:MySQL数据库进阶实战
立即下载