最稳妥的HSTS启用方式是在443端口的server块中使用add_header指令，并带always参数；需配置max-age、includeSubDomains和preload，且必须确保全站HTTPS可用并已配置HTTP→HTTPS跳转。
直接在 Nginx 的 server 块中使用 add_header 指令是最常用、最稳妥的 HSTS 启用方式。它确保该策略仅作用于 HTTPS 服务，避免误配导致 HTTP 响应头被忽略或引发循环跳转。
必须放在 443 端口的 server 块内
HSTS 头只在 HTTPS 响应中生效，浏览器会完全忽略 HTTP 响应里的 Strict-Transport-Security。所以这行配置不能写在监听 80 端口的 server 块里，也不能放在全局 http 块（除非你确认所有 server 都只走 HTTPS）。
- 正确示例（监听 443 的 HTTPS server）：
server {
listen 443 ssl http2;
server_name example.com;
ssl_certificate /path/to/cert.pem;
ssl_certificate_key /path/to/key.pem;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
# 其他配置...
}
- 错误做法：把它加在 80 端口重定向块里——无效，且可能干扰跳转逻辑。
推荐参数组合与含义
实际部署时建议采用以下结构，兼顾安全性与可维护性：
- max-age=31536000：一年有效期，足够长以建立稳定信任，又不至于因证书故障导致长期无法回退
- includeSubDomains：启用后，所有子域名（如 api.example.com、blog.example.com）自动继承 HSTS 策略，适合统一管理的站点
- preload：表示你愿意将域名提交至浏览器预加载列表；启用前请确认全站及所有子域 HTTPS 稳定运行，否则无法撤回
- always（关键）：加上这个标志，可确保即使响应状态码不是 2xx（比如 301/302/404），HSTS 头仍会被发送；否则默认只在 2xx 响应中生效
验证是否生效
配置保存后执行 sudo nginx -t && sudo systemctl reload nginx，再用浏览器访问 HTTPS 地址：
- F12 打开开发者工具 → Network → 刷新页面 → 点击主文档请求 → 查看 Response Headers
- 确认存在：
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload - 若看不到，检查是否漏了
always，或是否误配在非 HTTPS 的 server 块中
上线前务必确认
HSTS 不是“开了就完事”的功能，它依赖前置条件：
- 全站资源（CSS、JS、图片、API）必须支持 HTTPS，否则出现混合内容警告甚至阻断
- 所有子域名（如果启用了
includeSubDomains）都已部署有效证书并能正常 HTTPS 访问 - 已配置好从 HTTP 到 HTTPS 的 301 跳转（作为首次访问的兜底保护）
- 暂不建议一上来就设
max-age=31536000；可先用max-age=300（5 分钟）测试，确认无误后再逐步延长
