hsts头不能仅靠laravel中间件添加，因它只在https响应中生效，而http首次请求不经过php；必须由nginx/apache或cdn在服务器层强制301跳转至https，并在https响应中通过add_header strict-transport-security指令发送，同时配置trustproxies和forcescheme确保laravel生成正确https链接。
直接在 Laravel 中间件里加 Strict-Transport-Security 头是无效的——HSTS 只在 HTTPS 响应中被浏览器接受，而中间件无法阻止用户首次用 HTTP 访问；必须先确保所有 HTTP 请求被 301 重定向到 HTTPS，再让 HTTPS 响应携带 HSTS 头。
为什么不能只靠中间件发 HSTS 头
HSTS 的生效前提是：浏览器已收到一次有效的 HTTPS 响应，并从中解析出 Strict-Transport-Security 头。如果用户第一次访问是 http://example.com，请求根本不会进 Laravel（PHP 进程），而是由 Nginx/Apache 或 CDN 拦截处理。此时即使你在中间件里设置了 HSTS 头，它也不会被发送（因为走的是 HTTP 80 端口，没配 SSL）；更糟的是，若你同时开了 HTTP 强制跳转又开了 HSTS，但跳转配置错误，会导致无限重定向或 HSTS 错误缓存。
- 中间件只对已进入 PHP 生命周期的请求起作用，对纯静态资源、预检请求（OPTIONS）、CDN 缓存穿透等场景覆盖不全
-
$request->secure()在反向代理后不可靠，仅靠它判断并 redirect 会漏掉部分请求 - HSTS 头若出现在 HTTP 响应中（比如误配了非 HTTPS server 块），浏览器直接忽略，且不报错，难以排查
Nginx 层必须完成的两件事
在 Web 服务器层做完基础拦截，才能让 HSTS 发挥作用。缺一不可：
PHP中文网提供Laravel 13.2.0版本下载，Laravel框架 是基于 PHP 8.3+ 的高性能框架，官方推荐通过 Composer 安装。它内置 AI SDK、JSON:API Resources 及原生向量搜索，支持属性驱动开发与队列路由，大幅提升开发效率。相比旧版，13.2.0 优化了缓存 TTL 管理与实时通信，无需 Redis 即可横向扩展。作为现代 Web 开发首选，它兼顾安全与极速体验，助您快速构建企业级应用。
- 独立的
listen 80server 块，用return 301 https://$server_name$request_uri;—— 不要用rewrite，性能差且易出 Host 混乱 - HTTPS server 块中，在
location /或顶层添加add_header Strict-Transport-Security "max-age=5184000; includeSubDomains" always;—— 必须带always，否则 301/404 响应不带 HSTS 头 - 确认
ssl_protocols TLSv1.2 TLSv1.3;已启用，TLS 1.0/1.1 已禁用，否则 HSTS 会被现代浏览器拒绝
Laravel 内部需同步调整的配置点
服务器跳转到位后，Laravel 才能安全地生成 HTTPS 链接和 Cookie。否则会出现混合内容、Secure Cookie 被拒、URL 生成为 http 等问题：
- 在
App\Http\Middleware\TrustProxies中设置$proxies = '*';和$headers = \Illuminate\Http\Request::HEADER_X_FORWARDED_ALL;，确保$request->secure()返回正确值 - 在
AppServiceProvider::boot()中加\URL::forceScheme('https');，避免url()、route()生成 http 链接 -
.env中设APP_URL=https://yourdomain.com，且SESSION_SECURE_COOKIE=true、SESSION_HTTP_ONLY=true - 不要在中间件里重复加 HSTS 头——Nginx 已加，PHP 层再加属于冗余，还可能因缓存或条件分支漏发
HSTS 参数配置的坑与取舍
max-age 不是越长越好，includeSubDomains 也不是默认该开：
-
max-age=0可用于临时关闭 HSTS，但浏览器不会立即清除策略，需手动清 HSTS 缓存（Chrome 地址栏输chrome://net-internals/#hsts） - 设为
31536000（1 年）前，务必确认子域名全部支持 HTTPS，否则includeSubDomains会导致邮箱、管理后台等子域直接打不开 - 若用 Cloudflare 或阿里云 DCDN，HSTS 应优先在 CDN 控制台开启（如“HTTPS 配置 → HSTS”），而非 Nginx，避免 CDN 缓存了无 HSTS 的响应
- 加
preload前必须去 hstspreload.org 提交审核，一旦收录无法撤回，且要求max-age ≥ 31536000、includeSubDomains、根域名 HTTPS 全覆盖
真正卡住人的不是怎么加那行 header，而是 HTTP 到 HTTPS 的第一跳是否干净、所有子域是否就绪、以及 CDN 与源站头是否一致。HSTS 是个“写入浏览器缓存后就收不回来”的策略，上线前务必用 curl 验证：curl -I http://example.com 看是否 301 到 HTTPS，再 curl -I https://example.com 看响应头里有没有 Strict-Transport-Security 且值正确。
