HSTS

# hsts

http strict transport security，强制流量器使用https访问服务器[介绍](https://blog.csdn.net/u014311799/article/details/79037717)

## 出现的意义

1. 当在地址栏数据一个http网址时。访问服务器，服务器会发送重定向指定到https，如果发生了中间人劫持，在访问http网址时,就可以返回钓鱼网页的内容。

2. 当浏览器发出http请求时，由浏览器判断是否需要转换成https进行请求，而不是请求服务器以后进行重定向

3. 在第一次进行访问时，通过浏览器内置的列表进行判断是否需要进行转换，后续访问这个网页，会添加一个响应头。来标记这个网址是否需要使用https访问，并标转换的存活时间。

```

# response header

Strict-Transport-Security: max-age=31536000; includeSubDomains

# nginx

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

```

4. 针对第一次输入http网址，需要服务器的返回才能保存，Google Chromium维护了一个列表，在浏览器进行内置