要实现HSTS与301重定向协同生效，需80端口server块专注return 301跳转且无SSL配置，443端口server块启用有效SSL并添加带always参数的HSTS头，max-age须渐进式上线并严格验证证书权限与响应头。
要让 HSTS 和 301 强制重定向真正起作用，不能只写对语法，关键在逻辑顺序、生效边界和上线节奏——两者是分工协作的关系：301 解决“第一次怎么来”，HSTS 解决“之后怎么记”。
80 端口 server 块必须干净、专注、无副作用
这个块只做一件事：把所有 HTTP 请求一次性跳走。
- 必须用 return 301 https://$host$request_uri;，不用 rewrite，避免多跳、变量解析错误或 location 重匹配
- server_name 要覆盖所有实际使用的域名（如 example.com 和 www.example.com），否则未列域名的请求会 fallback 到默认 server，可能漏跳
- 绝对不要在里面加 ssl_certificate、ssl_protocols 或任何 location 块，Nginx 启动会直接报错
- 不处理静态文件、不代理后端、不设日志格式——它只是“门卫”，只负责拦和送
443 端口 server 块必须先能稳定提供 HTTPS
HSTS 是“信任后的约定”，如果 HTTPS 本身不可靠，HSTS 反而会让用户彻底打不开站。
- 证书路径要正确：ssl_certificate 指向 fullchain.pem（不是 cert.pem），ssl_certificate_key 指向 privkey.pem，且 Nginx 进程有读取权限
- 私钥不能加密：开头要是 -----BEGIN PRIVATE KEY----- 或 -----BEGIN RSA PRIVATE KEY-----，不能含 Proc-Type: 4,ENCRYPTED
- add_header Strict-Transport-Security 行必须带 always 参数，确保 4xx/5xx 错误响应也携带 HSTS 头，防止被绕过
- 推荐启用 http2 和现代 TLS 协议：
listen 443 ssl http2;+ssl_protocols TLSv1.2 TLSv1.3;
HSTS 的 max-age 和 preload 要分阶段上线
HSTS 不是开关，而是浏览器缓存策略；一旦生效，用户端无法手动关闭，只能等过期或提交移除。
- 首次上线建议从 max-age=300（5 分钟）开始测试，确认全站 HTTPS 稳定、无混合内容（HTTP 资源）、子域名也都可用后再逐步拉长
- includeSubDomains 需谨慎：所有子域名（如 api.example.com、cdn.example.com）都必须能正常响应 HTTPS，否则会导致整个域名不可访问
- preload 是长期承诺：加了 preload 就要提交到 hstspreload.org 审核，审核通过后会被硬编码进 Chrome/Firefox/Edge 等主流浏览器，上线即永久生效
- 上线前务必用
curl -I http://example.com验证是否返回 301，再用curl -I https://example.com查看响应头中是否有 Strict-Transport-Security
配置验证与权限细节容易踩坑
语法正确 ≠ 功能可用，很多失效源于路径、权限或协议细节。
- 每次修改后必须运行 sudo nginx -t：重点检查证书路径是否存在、privkey.pem 是否可读、引号是否成对、分号是否遗漏
- Linux 下注意 SELinux 或 AppArmor 限制，有时即使权限为 600，Nginx 仍读不到私钥，需额外放行
- 若使用 CDN 或负载均衡，确保 X-Forwarded-Proto 头被正确识别，且 Nginx 中未错误地基于 $scheme 做跳转判断（应始终以监听端口为准）
- 避免在 location 块里写 return 301 —— 重定向必须在 server 级别完成，否则可能被代理逻辑绕过
