HTTP Strict Transport Security (一般简称为HSTS) 是一个安全功用，它告知浏览器只能经过HTTPS拜访当时资源, 制止HTTP办法。
0×01.myhack58百科：什么是Strict-Transport-Security
我摘自owasp上的一段界说：
HTTP Strict Transport Security (HSTS) is an opt-in security enhancement that is specified by a web application through the use of a special response header. Once a supported browser receives this header that browser will prevent any communications from being sent over HTTP to the specified domain and will instead send all communications over HTTPS. It also prevents HTTPS click through prompts on browsers.
The specification has been released and published end of 2012 as RFC 6797 (HTTP Strict Transport Security (HSTS)) by the IETF. (Reference see in the links at the bottom.)
一个网站承受一个HTTP的恳求，然后跳转到HTTPS，用户或许在开端跳转前，经过没有加密的办法和服务器对话，比方，用户输入http://foo.com或许直接foo.com。这样存在中间人进犯潜在要挟，跳转进程或许被歹意网站利用来直接触摸用户信息，而不是本来的加密信息。网站经过HTTP Strict Transport Security告诉浏览器，这个网站制止运用HTTP办法加载，浏览器应该主动把一切测验运用HTTP的恳求主动替换为HTTPS恳求。
0×02. 咱们为什么需求敞开Strict-Transport-Security 
想想这样一种场景：
有的网站敞开了https，但为了照料用户的运用体会（因为用户总是很赖的，一般不会主动键入https，而是直接输入域名, 直接输入域名拜访，默许便是http拜访）一起也支撑http拜访，当用户http拜访的时分，就会回来给用户一个302重定向，重定向到https的地址，然后后续的拜访都运用https传输,这种通讯形式看起来形似没有问题，但详尽剖析，就会发现种通讯形式也存在一个危险，那便是这个302重定向或许会被劫持篡改，假如被改成一个歹意的或许垂钓的https站点，然后，你懂得，一旦落入垂钓站点，数据还有安全可言吗？
关于篡改302的进犯，主张服务器敞开HTTP Strict Transport Security功用，这个功用的意义是：
当用户现已安全的登录敞开过htst功用的网站 (支撑hsts功用的站点会在呼应头中刺进：Strict-Transport-Security) 之后，支撑htst的浏览器(比方chrome. firefox)会主动将这个域名加入到HSTS列表，下次即运用户运用http拜访这个网站，支撑htst功用的浏览器就会主动发送https恳求（条件是用户没有清空缓存，假如清空了缓存第一次拜访仍是明文，后续浏览器接收到服务器呼应头中的Strict-Transport-Security，就会把域名加入到hsts缓存中，然后才会在发送恳求前将http内部转换成https），而不是先发送http，然后重定向到https，这样就能防止半途的302重定向URL被篡改。进一步进步通讯的安全性。
上面是我自己的了解，下面是owasp中文站点关于hsts的描述：
HSTS的作用是强制客户端（如浏览器）运用HTTPS与服务器创立衔接。服务器敞开HSTS的办法是，当客户端经过HTTPS宣布恳求时，在服务器回来的超文本传输协议呼应头中包括Strict-Transport-Security字段。非加密传输时设置的HSTS字段无效。
比方，https://example.com/ 的呼应头含有Strict-Transport-Security: max-age=31536000; includeSubDomains。这意味着两点：
在接下来的一年（即31536000秒）中，浏览器只需向example.com或其子域名发送HTTP恳求时，有必要选用HTTPS来建议衔接。比方，用户点击超链接或在地址栏输入 http://www.example.com/ ，浏览器应当主动将 http 转写成 https，然后直接向 https://www.example.com/ 发送恳求。
在接下来的一年中，假如 example.com 服务器发送的TLS证书无效，用户不能疏忽浏览器正告持续拜访网站。
HSTS能够用来抵挡SSL剥离进犯。SSL剥离进犯是中间人进犯的一种，由Moxie Marlinspike于2009年创造。他在当年的黑帽大会上宣布的题为“New Tricks For Defeating SSL In Practice”的讲演中将这种进犯办法揭露。SSL剥离的施行办法是阻挠浏览器与服务器创立HTTPS衔接。它的条件是用户很少直接在地址栏输入https://，用户总是经过点击链接或3xx重定向，从HTTP页面进入HTTPS页面。所以进犯者能够在用户拜访HTTP页面时替换一切https://最初的链接为http://，到达阻挠HTTPS的意图。
HSTS能够很大程度上处理SSL剥离进犯，因为只需浏览器从前与服务器创立过一次安全衔接，之后浏览器会强制运用HTTPS，即便链接被换成了HTTP
别的，假如中间人运用自己的自签名证书来进行进犯，浏览器会给出正告，可是许多用户会疏忽正告。HSTS处理了这一问题，一旦服务器发送了HSTS字段，用户将不再答应疏忽正告。
0×03. Strict-Transport-Security的一些缺乏
用户初次拜访某网站是不受HSTS维护的。这是因为初次拜访时，浏览器还未收到HSTS，所以仍有或许经过明文HTTP来拜访。处理这个缺乏现在有两种计划，一是浏览器预置HSTS域名列表，Google Chrome、Firefox、Internet Explorer和Spartan完成了这一计划。二是将HSTS信息加入到域名体系记载中。但这需求确保DNS的安全性，也便是需求布置域名体系安全扩展。到2014年这一计划没有大规模布置。
因为HSTS会在必定时刻后失效（有效期由max-age指定），所以浏览器是否强制HSTS战略取决于当时体系时刻。部分操作体系常常经过网络时刻协议更新体系时刻，如Ubuntu每次衔接网络时，OS X Lion每隔9分钟会主动衔接时刻服务器。进犯者能够经过假造NTP信息，设置过错时刻来绕过HSTS。处理办法是认证NTP信息，或许制止NTP大幅度增减时刻。比方Windows 8每7天更新一次时刻，而且要求每次NTP设置的时刻与当时时刻不得超越15小时
0×04. 我的一些测验

[1] [2]  黑客接单网