nginx 配置 hsts 必须在启用 ssl 的 443 server 块中，使用 add_header ... always；max-age 初始设为 300 测试，includesubdomains 需确保所有子域 https 可用，preload 需满足全站 https、max-age≥31536000 等条件并提交验证。
在 Nginx 中配置 HSTS 不是加一行头就能用，关键得位置对、参数稳、范围准、上线慎。它真正起作用的前提是：你的网站已稳定运行 HTTPS，所有涉及的域名（含子域）都有有效证书，且 80 端口已做好 301 跳转。
必须放在 443 HTTPS 的 server 块里
HSTS 头只通过 HTTPS 响应生效，HTTP（80 端口）响应中设置会被浏览器直接忽略。更严重的是，如果错放在 http 块或未启用 SSL 的 location 中，可能被覆盖或误用于非 HTTPS 上下文。
- 只在
server { listen 443 ssl http2; }这类块内添加 - 确保该块中已正确配置
ssl_certificate和ssl_certificate_key - 绝对不要写在 80 端口的
server块里，也不要在无 SSL 的 location 中“复用”
add_header 必须带 always 参数
缺省情况下，Nginx 只对 2xx 和 3xx 响应添加 header。但像 404、500、304 这类状态码若不带 HSTS 头，浏览器就可能中断策略，导致安全链断裂。
- 错误写法：
add_header Strict-Transport-Security "max-age=31536000";（缺always，不可靠） - 正确写法：
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always; - 若后端（如 Spring Boot、Node.js）也返回 HSTS 头，需屏蔽：
proxy_hide_header Strict-Transport-Security;
max-age 和 includeSubDomains 要量力而行
max-age 决定浏览器强制 HTTPS 的时长；includeSubDomains 把策略扩展到所有一级子域（如 www、api、blog），但这是有代价的。
- 首次上线建议从
max-age=300（5 分钟）开始测试，确认无异常后再逐步调高至31536000（1 年） - 启用
includeSubDomains前，必须确保每个子域都能通过 HTTPS 正常访问、证书有效；否则用户访问失败后，主站也可能被浏览器标记为“不安全” -
includeSubDomains不递归生效，foo.bar.example.com不受保护
preload 是承诺，不是开关
加上 preload 是为了提交到浏览器预加载列表，实现“第一次访问即强制 HTTPS”。但这不是可逆操作，一旦收录，撤回需数月甚至半年以上。
- 必须同时满足：全站 HTTPS、
max-age ≥ 31536000、含includeSubDomains - 所有子域名响应头中也必须含完整 HSTS 策略
- 提交前请先验证：访问
https://hstspreload.org/?domain=yourdomain.com
