apache - Strict-Transport-Security 对重定向到 https 的 http 反向代理的影响

Question

服务器响应带有 HSTS 标头，并且由于我使用的是反向代理 HSTS 标头也通过代理响应发送。由于存在不同的域（代理和服务器），HSTS 是否会使浏览器自动将架构从http://proxyhost.com更改为https://proxyhost.com？或者当用户请求http://proxyhost.com时，预加载列表会自动调用https://serverhost.com？

Answer 1

HSTS 是否使浏览器自动将架构从更改http为https

的确！并且因为：

反向代理 HSTS 标头也通过代理响应发送。

...反向代理的配置可能会不由自主地使您的域设置HSTS标题。

花了一些时间来了解为什么我的 apache 服务器设置了HSTS标头 - 因为我没有在 apache Web 服务器中配置它。这是由于ReverseProxy: 当外部域设置HSTS标题时，此标题随后（反向代理！）带有我的域名。然后将其传播到存储它的客户端浏览器。因此，我的所有域的站点（在这种情况下也是我的所有子域！）被强制使用https（不是在使用时，例如curl，当然，但是firefox，chromium等等）。

谢谢你的问题——这已经是完美的方向了！

就我而言，我可以简单地使用 aRewriteRule而不是 a reverse proxy:) 但这当然取决于您的情况。

您还在评论中给出了正确的答案：

在这种情况下，我应该在反向代理中取消设置 HSTS 标头

正确的！Header unset Strict-Transport-Security直接在指令后添加即可ProxyPassReverse，无需继承标头即可使用反向代理HSTS。