map不能控制hsts开关，因其仅生成变量，而add_header不支持if条件语法；hsts必须在https的server块中静态配置，灰度化需为不同域名配置独立server块并差异化添加hsts头。
不能直接用 map 控制 HSTS 开关，因为 HSTS 头（Strict-Transport-Security）必须在 HTTPS 的 server 块中静态配置，且浏览器只认该响应头是否出现在 443 端口的 HTTPS 响应里——map 生成的变量无法用于条件性添加或移除这个头。
为什么 map 不适合控制 HSTS
map 指令只能生成变量，而 add_header 不支持基于变量值动态启用/禁用某个响应头。即使你写成：
map $host $hsts_enabled {
"gray.example.com" "1";
default "";
}
再配合 add_header Strict-Transport-Security ... if=$hsts_enabled; —— 这种语法 Nginx **根本不支持**。add_header 没有 if 参数，也无法根据变量值跳过输出。
真正可行的灰度化 HSTS 方案
要实现“仅对特定域名或灰度环境开启 HSTS”，本质是：为不同域名部署独立的 HTTPS server 块，并在其中差异化配置 HSTS 头。
- 为灰度域名（如
gray.example.com）单独写一个server { listen 443 ssl; server_name gray.example.com; }块，在里面加 HSTS 头 - 为生产主站（如
www.example.com）另起一个server块，暂不加 HSTS，或使用极短max-age=300做灰度验证 - 确保两个域名都绑定有效证书；若共用通配符证书（
*.example.com），可复用同一份 SSL 配置
进阶：用 map 辅助灰度验证流程
虽然不能开关 HSTS，但可以用 map 配合日志或监控，辅助判断哪些请求属于灰度环境，从而验证 HSTS 行为是否符合预期：
map $host $is_gray_domain {
"gray.example.com" 1;
"canary.example.com" 1;
default 0;
}
然后在 log_format 中记录该变量：log_format main '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" $is_gray_domain';
这样就能从日志快速筛选灰度域名的 HSTS 响应情况，配合 curl 或浏览器检查响应头是否生效。
关键提醒
- HSTS 一旦通过
includeSubDomains和preload上线，撤回极其困难；灰度阶段务必限定域名范围，避免误伤主站 - 不要在 HTTP（80 端口）server 块中尝试设置 HSTS 头——浏览器会直接忽略
- 若使用 CDN（如 Cloudflare），需确认其透传
Strict-Transport-Security，否则 Nginx 配了也无效
