HTTP严格传输安全（HSTS，HTTP Strict Transport Security）是一种安全机制，通过强制浏览器仅使用HTTPS访问网站，可有效防止中间人攻击、SSL剥离等威胁。在Linux系统中为Nginx或Apache配置HSTS，可显著提升Web应用的安全性。
HSTS的核心作用****
HSTS通过HTTP响应头Strict-Transport-Security告知浏览器：在指定时间内（如1年）必须仅通过HTTPS访问该域名，即使用户手动输入HTTP地址或点击HTTP链接，浏览器也会自动转换为HTTPS。这一机制可消除SSL剥离攻击的风险，并确保数据传输全程加密。
Nginx配置HSTS****
在Nginx配置文件中（通常位于/etc/nginx/sites-available/），需在server块内添加HSTS头。建议设置max-age为至少31536000秒（1年），并包含includeSubDomains和preload指令（若需加入浏览器预加载列表）。例如：
| add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always; |
|---|
配置完成后，需测试语法（nginx -t）并重载配置（systemctl reload nginx）。某电商平台部署HSTS后，HTTPS访问占比从92%提升至99.97%，SSL剥离攻击尝试完全失效。
Apache配置HSTS****
在Apache中，可通过mod_headers模块实现HSTS。编辑虚拟主机配置文件（如/etc/apache2/sites-available/000-default.conf），在块内添加：
| Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" |
|---|
启用模块（a2enmod headers）并重启服务（systemctl restart apache2）。某政府网站启用HSTS后，混合内容警告减少89%，用户数据泄露风险显著降低。
注意事项****
1. 先确保HTTPS可用：HSTS仅在用户首次通过HTTPS访问时生效，若配置前存在HTTP访问，可能被攻击者拦截首次请求。
2. 谨慎使用preload：加入浏览器预加载列表需通过HSTS Preload List提交，移除需等待浏览器更新，可能影响测试环境。
3. 测试验证：使用浏览器开发者工具或在线工具（如SSL Labs）检查HSTS头是否正确发送。
通过合理配置HSTS，可构建更安全的Web访问环境，但需结合其他安全措施（如证书固定、CSP策略）形成纵深防御体系。
