![是否可以通过编程禁用 HSTS 重定向?](https://linux22.com/image/689071/%E6%98%AF%E5%90%A6%E5%8F%AF%E4%BB%A5%E9%80%9A%E8%BF%87%E7%BC%96%E7%A8%8B%E7%A6%81%E7%94%A8%20HSTS%20%E9%87%8D%E5%AE%9A%E5%90%91%EF%BC%9F.png)
情况:站点,支持 HTTP 和 HTTPS。已启用 HSTS。由 Apache 2.2 提供支持。
后来,网站所有者决定只在某些页面(注册、订单等)上使用 HTTPS。但是,.htaccess 重定向失败,因为许多网站访问者的浏览器已经收到 HSTS 标头,不会显示 HTTP(导致重定向循环或到处使用 HTTPS)。
是否可以通过编程禁用 HSTS 重定向?唯一可行的方法是清除与网站相关的所有浏览器保存的数据,但远非完美。
尝试发送如下标头
Strict-Transport-Security: max-age=1;
并在设定的间隔(1 秒)过去后强制重定向到 HTTP,但看起来并非所有浏览器都能被欺骗(重定向循环仍然会发生)。
唯一的解决方案是要求用户手动删除提到的站点数据吗?
答案1
根据https://datatracker.ietf.org/doc/html/draft-ietf-websec-strict-transport-sec-11#section-6.1.1
“注意:最大年龄值为零(即“max-age=0”)表示 UA 停止将该主机视为已知 HSTS 主机。”
所以设置Strict-Transport-Security: max-age=0;
答案2
不,这是不可能的,甚至不应该是可能的,这又是 HSTS 的工作方式。为什么所有者要禁用对普通页面的 https 支持?您应该向所有者解释,https 在任何地方使用时效果最好。