Nginx实现HTTPS强制跳转与HSTS需分端口配置：80端口server块用return 301跳转并严控host；443端口添加add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;，确保HSTS头稳定生效且规避安全风险。
要让Nginx服务器实现HTTPS强制跳转并启用HSTS（HTTP Strict Transport Security），关键不是只加一条return 301 https://$host$request_uri;，而是确保跳转逻辑安全、HSTS头部正确生效、且不引发混合内容或预加载风险。以下是经过生产环境验证的配置要点。
HTTPS跳转必须在80端口独立server块中完成
不要把HTTP跳转逻辑写在HTTPS的server块里，否则可能绕过或失效。应在监听80端口的server中统一处理：
- 使用
return 301 https://$host$request_uri;而非rewrite，性能更高、语义更明确 - 确保
$host未被用户篡改，可加underscores_in_headers off;和严格server_name白名单（如server_name example.com www.example.com;） - 避免在跳转中拼接
$http_host，防止Host头注入（例如恶意请求Host: evil.com导致跳转到错误域名）
HSTS头部必须在HTTPS响应中稳定输出
HSTS只能通过HTTPS响应头传递，且仅对当前域名及子域生效。配置时注意：
- 在443端口的server块中添加：
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always; -
always参数很重要——确保即使返回304、404、500等非200状态码，HSTS头仍会发送 -
includeSubDomains表示该策略适用于所有一级子域（如api.example.com、blog.example.com），启用前需确认所有子域均已支持HTTPS -
preload仅在确认长期HTTPS可用、且已提交至hstspreload.org后加入，否则浏览器不会预置
避免HSTS配置引发的常见故障
HSTS一旦生效（尤其开启preload），无法快速回退。上线前务必验证：
- 用
curl -I https://example.com检查响应头是否含Strict-Transport-Security，且max-age值合理（建议首次部署从300秒开始测试，确认无误后再调高） - 禁用浏览器缓存后访问HTTP地址，确认301跳转能到达正确的HTTPS URL（注意：Chrome对HSTS域名会直接拦截HTTP请求，不发包，需用隐身窗口或curl验证跳转逻辑）
- 若使用CDN（如Cloudflare），确保CDN未覆盖或删除HSTS头；部分CDN需在控制台单独开启HSTS开关
- 证书必须有效且覆盖全部
server_name域名，否则HSTS启用后用户将无法访问（浏览器拒绝降级）
补充：兼顾兼容性与安全性的小技巧
对于老旧客户端或特殊场景，可微调策略：
- 若暂不准备提交预加载，先去掉
preload，避免误操作锁定域名 - 内部服务或API网关可设置较短
max-age（如3600），便于紧急回滚 - 配合
Content-Security-Policy头限制混合内容：upgrade-insecure-requests可辅助前端自动升级HTTP资源 - 日志中记录HTTP请求（在80端口server中加
access_log /var/log/nginx/http_redirect.log;），监控是否仍有大量HTTP访问，评估用户迁移进度
