微信X5内核HSTS白屏本质是HTTPS强制跳转与实际协议/证书链不匹配导致的静默连接中断，需从HSTS生效机制、证书完整性、协议兼容性三方面排查：确认HSTS头是否被缓存且HTTPS链路真正可用（证书链完整、TLS≥1.2、OCSP正常），并排除混合内容与重定向循环。
微信内嵌浏览器（X5内核）或部分App WebView在HSTS生效后白屏，本质是强制HTTPS跳转与实际协议/证书链不匹配引发的连接中断，不是前端代码问题，而是安全策略和配置未对齐。排查需从HSTS生效机制、证书完整性、协议兼容性三方面入手。
确认HSTS是否已强制启用且缓存生效
HSTS一旦被浏览器（包括微信X5）接收并缓存，会自动将所有HTTP请求升级为HTTPS，且不经过服务端重定向——如果此时HTTPS不可用，就直接失败白屏。
- 检查响应头是否含
Strict-Transport-Security: max-age=...，且未被CDN或反向代理覆盖 - 微信会持久化HSTS策略（尤其iOS/iPadOS），即使你已停用HSTS，旧缓存仍可能持续数天甚至数月
- 验证方式：用
curl -I http://your-domain.com看是否返回 301/302 跳转；再用curl -I https://your-domain.com看是否返回 200 + HSTS头 - 若HSTS已生效但HTTPS不通，微信不会显示“不安全”提示，而是静默失败——页面白屏、控制台无报错、Network面板里请求状态为“(failed)”或“Pending”
验证HTTPS链路是否真正可用（微信比Chrome更严格）
微信X5内核对TLS握手、证书链、协议版本要求更高，常见失效点：
-
证书链不完整：必须确保
ssl_certificate指向包含域名证书+中间证书的fullchain.pem，不能只放cert.pem；用openssl s_client -connect your-domain.com:443 -servername your-domain.com -showcerts | grep "subject="验证输出至少两行，第二行必须是中间CA（如CN=Let's Encrypt R3），不能是根证书 -
TLS版本过低：微信明确禁用 TLS 1.0/1.1，Nginx 必须启用 TLS 1.2 或 TLS 1.3；检查配置中是否有
ssl_protocols TLSv1.2 TLSv1.3;，避免残留TLSv1.1 -
OCSP Stapling未开启或失败：部分X5版本会校验OCSP响应；可临时加
ssl_stapling on; ssl_stapling_verify on;并确认resolver设置正确（如resolver 8.8.8.8 114.114.114.114 valid=300s;）
排除HSTS与混合内容、重定向循环的叠加影响
白屏常是多个问题叠加的结果，尤其当HSTS开启后，原有HTTP资源或跳转逻辑暴露缺陷：
- 检查页面中所有资源（
<script></script>、fetch、iframe）是否全部使用https://或协议相对路径（//domain.com/xxx）；微信对混合内容（Mixed Content）拦截更激进，不提示，直接阻断 - 确认Nginx未配置双重跳转：例如同时启用了
return 301 https://$host$request_uri;和 HSTS，可能在特定UA下触发循环或超时 - 若使用CDN（如腾讯云CDN、Cloudflare），确认其未缓存HTTP响应头或错误地覆盖了HSTS头；建议先绕过CDN直连源站测试
- 微信内访问时，尝试在地址栏手动输入
https://your-domain.com—— 若能打开，说明HSTS缓存导致HTTP入口失效；若仍白屏，则问题在HTTPS链路本身
快速验证与临时缓解方法
面向开发调试，以下操作可快速定位或临时恢复访问：
- 清除微信HSTS缓存：iOS 微信 → 我 → 设置 → 通用 → 存储空间 → 清理缓存（注意：此操作会清空所有聊天记录以外的数据）；安卓微信暂无直接入口，可卸载重装或换号测试
- 临时关闭HSTS：注释或删除Nginx配置中的
add_header Strict-Transport-Security ...;，执行nginx -t && systemctl reload nginx，再用HTTP访问验证是否恢复 - 用
curl -vk https://your-domain.com查看TLS握手详情，重点关注* SSL connection using TLSv1.2 / ECDHE-RSA-AES256-GCM-SHA384和* Server certificate区块是否正常 - 使用 SecurityHeaders.com 或 SSL Labs 扫描，重点看 “HSTS” 和 “Chain issues” 两项评分
