node.js - HSTS：我应该强制用户在负载平衡或 Web 服务器上使用 HTTPS 吗？

Question

我的环境：

1.) 1 台负载均衡服务器 (nginx)

2.) 2 个网络服务器（express.js 在 node.js 上运行）

3.) 1 台数据库服务器

您好，我正试图强制我的用户使用 https。我浏览了许多关于如何在 express.js 中实现 https 的教程。

但是，当我浏览许多教程时，我发现了两种将用户 http 重定向到 https 的方法。

1. 将用户重定向到 nginx 配置上的 https（在负载平衡服务器上）
2. 将用户重定向到 express.js 上的 https（在 Web 服务器上）

我的问题是：

• 这是为我的网络应用程序（在负载平衡或网络服务器上）实施 HSTS 的更好方法

• 也请提供一些关于每个选项的优缺点的信息

非常感谢 ：）

Answer 1

您可以通过在负载均衡器上强制执行 https 上游来减少流量，如果您只提供需要加密的内容，最好限制从外部来源到 Web 服务器的 http 流量。

否则，http 请求将通过负载平衡器，被定向到 Web 服务器 1，在那里它将以 302 重定向响应以使用 https url。这导致用户必须发出 2 次请求才能访问您的网站。