如果用户通过 HTTP 访问页面，则强制浏览器通过 HTTPS 发送第一个请求

Question

前段时间，我发现了一种可以防止浏览器与服务器建立任何不安全连接的方法。我已经将用户从 HTTP 重定向到 HTTPS，但如果用户首先将包含敏感数据的请求发送到 http，然后重定向到 HTTPS，则数据已通过 HTTP 发送到服务器。

Answer 1

您绝对无法阻止任何人以明文形式发送数据。您唯一能控制的就是您的服务器如何响应它（如果有的话）。考虑到这一点，我建议您使用正常手段直接拒绝请求或简单地将其重定向到 HTTPS。实际上您没有其他办法。

Answer 2

我正在搜索 HTTP 严格传输安全标头。 http://hacks.mozilla.org/2010/08/firefox-4-http-strict-transport-security-force-https/

Answer 3

您可以将 Web 服务器配置为不监听端口 80。这样就不会发生 TCP 握手，浏览器甚至不会发送第一个数据包。显然，重定向将不再起作用。