Echo框架安全性加固与HTTP Strict Transport Security配置-Golang-PHP中文网

echo默认不发strict-transport-security头，因其不自动判断https环境、不检查r.tls，且http下发送该头会被浏览器忽略甚至引发兼容问题；必须手动添加条件判断，仅在tls成立或可信反代（x-forwarded-proto: https）且非本地开发时注入。

echo框架安全性加固与http strict transport security配置

为什么 Echo 默认不发 `Strict-Transport-Security` 头

Echo 是一个极简 HTTP 路由器，echo.New() 启动的服务不会自动添加任何安全响应头——包括 Strict-Transport-Security。它不判断你是否在 HTTPS 下运行，也不检查 r.TLS 是否为 nil。如果你直接在 HTTP 环境下发这个头，浏览器会静默忽略；更糟的是，某些旧客户端可能因此拒绝后续 HTTPS 请求。

必须手动加、必须条件判断、必须只在 TLS 连接成立时才写入。

Strict-Transport-Security 只对 HTTPS 有效，HTTP 响应中设置等于无效甚至有害
本地开发用 localhost 或 127.0.0.1:8080 时，r.TLS == nil 为真，此时绝不能写该头
即使部署了反向代理（如 Nginx），也要确保 Echo 能感知到 TLS——通常靠 X-Forwarded-Proto: https + echo.HTTPErrorHandler 中校验

`echo.MiddlewareSecure` 能否替代手写 HSTS

可以，但有前提：它默认启用 Strict-Transport-Security，但参数固定为 max-age=31536000; includeSubDomains，且不带 preload。更重要的是，它**不自动跳转 HTTP → HTTPS**，也不校验转发头。

Echo框架 5.1.0

Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。

下载

如果你用 Nginx 做 TLS 终止，Echo 收到的是 HTTP 请求，echo.MiddlewareSecure 就不会触发 HSTS —— 它只看 r.TLS != nil，而这个字段在反代后是空的。

要让它生效，必须显式启用信任代理：e := echo.New(); e.Pre(middleware.ProxyHeaders)
echo.MiddlewareSecure 会同时加 X-Content-Type-Options 和 X-Frame-Options，但不会加 Content-Security-Policy
若需 preload，必须绕过中间件，自己写 echo.Use(func(next echo.Handler) echo.Handler { ... }) 手动注入

如何在 Echo 中安全地注入 HSTS 头（含反代兼容）

最稳妥的方式是写一个轻量中间件，在 r.TLS != nil 或 r.Header.Get("X-Forwarded-Proto") == "https" 成立时才写头，并排除 localhost。

func hstsMiddleware() echo.MiddlewareFunc {
	return func(next echo.Handler) echo.Handler {
		return func(c echo.Context) error {
			req := c.Request()
			// 只在真实 HTTPS 或可信反代下启用
			isHTTPS := req.TLS != nil || req.Header.Get("X-Forwarded-Proto") == "https"
			host := req.Host
			// 排除本地开发地址
			if !isHTTPS || strings.HasPrefix(host, "localhost:") || host == "localhost" || strings.HasSuffix(host, ":8080") {
				return next(c)
			}
			c.Response().Header().Set("Strict-Transport-Security", "max-age=31536000; includeSubDomains; preload")
			return next(c)
		}
	}
}