怎么在 Nginx 中为 HTTPS 虚拟主机添加安全响应头-Nginx-PHP中文网

最稳妥方式是在每个https的server块内添加add_header ... always;。需紧贴ssl配置，确保hsts、csp等头对所有状态码生效，并按站点实际需求启用includesubdomains和csp源策略。

怎么在 nginx 中为 https 虚拟主机添加安全响应头

直接在对应 HTTPS 的 server 块里写 add_header ... always;，是最稳妥、最推荐的方式。

全局配置容易误伤其他站点，而每个 HTTPS 站点独立设置，才能精准匹配其证书状态、子域策略和资源加载实际需求。

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

必须放在 server 块内，不能放 http 块顶层

Nginx 中每个 `server` 块代表一个域名（或一组域名），安全头要和该站点的 `listen 443 ssl` 配置共存于同一块中。例如：

server {
    listen 443 ssl;
    server_name example.com;

    ssl_certificate /path/to/cert.pem;
    ssl_certificate_key /path/to/key.pem;

    # ✅ 正确位置：紧贴 SSL 配置下方或 location 外任意处
    add_header X-Content-Type-Options "nosniff" always;
    add_header X-Frame-Options "DENY" always;
    add_header X-XSS-Protection "1; mode=block" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;
}

如果写在 http { ... } 最外层，所有站点都会继承，可能让 HTTP 站点也带上 HSTS，或让子站因 CSP 过严而白屏。

务必加上 always 参数

默认情况下，`add_header` 只对 2xx 成功响应生效。但重定向（301/302）、错误页（404/500）同样需要安全头防护。

❌ add_header Strict-Transport-Security "max-age=31536000";
→ 404 页面不带 HSTS，浏览器不会记住强制 HTTPS
✅ add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
→ 所有响应状态都携带，真正生效

HSTS 和 CSP 要按站点实际启用

- HSTS 的 `includeSubDomains` 有强绑定性：主站 `example.com` 启用了，子站 `blog.example.com` 就自动被覆盖。若子站是独立 CDN 或证书，需单独验证 HTTPS 可用后再加，否则会锁死非 HTTPS 访问。 - CSP 不能“抄模板”： - 如果站点用 Google Fonts，就得加 `font-src fonts.gstatic.com;` - 如果嵌了 YouTube iframe，就得加 `frame-src youtube.com;` - 初次上线建议先用 `Content-Security-Policy-Report-Only` 模式观察两周，再切为正式拦截。