要让现代浏览器真正“提前”信任并默认走https，必须配合hsts：先用return 301实现http→https无歧义重定向，再在https server块中添加strict-transport-security响应头（含max-age、includesubdomains和preload），确保浏览器后续自动改写所有请求为https，全程不发明文http请求。
要让现代浏览器真正“提前”信任并默认走 HTTPS，光靠 301 重定向远远不够——它只解决跳转，不解决首次明文请求的风险。关键在于配合 HSTS（HTTP Strict Transport Security），让浏览器在第一次安全连接后，就记住“这个域名永远只走 HTTPS”，后续哪怕用户手动输 http:// 或点击旧链接，浏览器也会自动改写为 https://，全程不发任何 HTTP 明文请求。
一、基础强制跳转：HTTP → HTTPS 的可靠写法
这是所有 HTTPS 配置的前提，必须先确保 80 端口能干净、无歧义地重定向：
- 用
return 301而非rewrite，性能更高、语义更明确，避免正则开销和潜在循环 - 务必使用
$host+$request_uri组合，保留原始路径与查询参数，例如http://example.com/path?x=1→https://example.com/path?x=1 - server_name 必须精确匹配你的主域名和常用别名（如带 www 不带 www），否则可能漏掉部分请求
标准配置示例：
server {listen 80;
server_name example.com www.example.com;
return 301 https://$host$request_uri;
}
二、启用 HSTS：让浏览器“记住”只走 HTTPS
仅靠重定向，攻击者仍可在用户首次访问时劫持 HTTP 请求。HSTS 是浏览器原生支持的安全策略，通过响应头告诉浏览器：“未来至少 X 秒内，对这个域名的所有请求，都必须用 HTTPS 发起”。
- 在 HTTPS 的 server 块中添加：
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"; -
max-age=31536000表示有效期 1 年（建议从 300 秒测试起，确认无误再拉长） -
includeSubDomains表示该策略也适用于所有子域名（如 api.example.com、blog.example.com） -
preload是加入浏览器 HSTS Preload List 的前提，需额外提交到 hstspreload.org 审核
⚠️ 注意：HSTS 一旦生效，无法通过清除浏览器缓存撤销，只能等待过期或提交移除申请。上线前务必确保全站 HTTPS 已稳定运行且无混合内容（HTTP 资源）。
三、预防常见陷阱：证书、配置与兼容性
很多“强制 HTTPS 失效”其实源于底层细节被忽略：
-
SSL 模块必须启用：编译 Nginx 时需含
--with-http_ssl_module；若用包管理器安装（如 apt/yum），通常已默认包含 -
证书路径必须可读：Nginx worker 进程需有权限读取
.crt和.key文件，推荐设为644（证书）和600（私钥） -
避免混合内容：HSTS 启用后，页面内任何
http://资源（图片、脚本、iframe）都会被浏览器直接屏蔽，导致功能异常或白屏 - 检查防火墙与 CDN：确保 443 端口开放；若使用 CDN（如 Cloudflare），需确认其 SSL 模式为 “Full” 或 “Full (strict)”，并关闭“HTTP 自动重定向”等冗余功能，避免多层跳转冲突
四、验证与调试：确认策略真实生效
配置完成后，不能只靠浏览器地址栏判断：
- 用
curl -I http://example.com查看是否返回301 Moved Permanently及正确 Location 头 - 用
curl -I https://example.com检查响应头是否含Strict-Transport-Security - 打开 Chrome DevTools → Network 标签页 → 访问站点 → 点击任意请求 → Headers → Response Headers，确认 HSTS 头存在且值正确
- 访问 hstspreload.org 检查域名是否符合预加载条件（尤其注意是否已启用
preload且无 HTTP 回退）
