hsts必须覆盖所有响应出口，nginx≥1.7.5可在server块末尾加add_header…always；旧版本需在每个location块内添加（不含always）；反向代理需在宝塔配置中手动填http头格式；max-age、includesubdomains、preload参数各有严格后果，上线初期建议暂不启用preload。
HSTS 不能只在主配置里加一行就完事，必须覆盖所有可能的响应出口，否则浏览器收不到，等于没开。
宝塔 Nginx 版本决定 add_header 写法
先查版本：nginx -v。如果显示 ≥ 1.7.5（比如 1.24.0），直接在「网站设置 → 配置文件」的 server 块末尾加：
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
如果版本较老（如 CentOS 7 默认的 1.12.2），always 参数不被支持，且 Nginx 会忽略 location 块外的 add_header —— 你得手动进每个 location 块补：
location /location ~ \.php$-
location ^~ /static/（或你自定义的静态路径）
每个里面都加一行（不含 always）：
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload";
反向代理场景下 HSTS 容易漏配
如果你用了宝塔的「反向代理」功能，它会自动生成一个独立的 location 块，比如：
location ^~ /api/ { proxy_pass https://127.0.0.1:8080/; ... }
这个块默认不继承 server 级的 add_header，而且宝塔界面里没有地方让你直接编辑它的响应头。正确做法是：
- 点该反向代理规则右侧的「配置」按钮
- 在弹出框中找到「发送响应头」区域
- 手动填入：
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload
注意：这里填的是完整 HTTP 头格式（冒号分隔），不是 Nginx 的 add_header 语法。
max-age、includeSubDomains、preload 这三个参数的真实代价
它们不是“越全越好”，而是上线前必须想清楚后果：
-
max-age=31536000（1 年）一旦生效，用户浏览器就会强制 HTTPS 一整年——证书过期、临时切 HTTP 调试、甚至误配导致全站 502，用户都会打不开，只能等时间过期或手动清 HSTS 缓存（Chrome 访问chrome://net-internals/#hsts） -
includeSubDomains会让api.example.com、cdn.example.com全部强制 HTTPS，前提是这些子域也配置了有效证书；否则整个主域名都会变白屏 -
preload是把域名提交进浏览器预加载列表，意味着哪怕用户第一次访问，也会强制跳 HTTPS——但提交后无法撤回，且审核周期长，建议先去掉这个参数跑满 6 个月再说
上线初期更稳妥的写法是：max-age=31536000; includeSubDomains，不带 preload，等稳定后再评估是否加入。
真正容易被忽略的，是反向代理和 location 分块带来的响应头隔离问题——很多故障不是配置错了，而是压根没送到浏览器手里。
