☰

是否可以通过编程禁用 HSTS 重定向？

tag-icon • tag-icon https
是否可以通过编程禁用 HSTS 重定向？

情况：站点，支持 HTTP 和 HTTPS。已启用 HSTS。由 Apache 2.2 提供支持。

后来，网站所有者决定只在某些页面（注册、订单等）上使用 HTTPS。但是，.htaccess 重定向失败，因为许多网站访问者的浏览器已经收到 HSTS 标头，不会显示 HTTP（导致重定向循环或到处使用 HTTPS）。

是否可以通过编程禁用 HSTS 重定向？唯一可行的方法是清除与网站相关的所有浏览器保存的数据，但远非完美。

尝试发送如下标头

Strict-Transport-Security: max-age=1;

并在设定的间隔（1 秒）过去后强制重定向到 HTTP，但看起来并非所有浏览器都能被欺骗（重定向循环仍然会发生）。

唯一的解决方案是要求用户手动删除提到的站点数据吗？

答案1

根据https://datatracker.ietf.org/doc/html/draft-ietf-websec-strict-transport-sec-11#section-6.1.1

“注意：最大年龄值为零（即“max-age=0”）表示 UA 停止将该主机视为已知 HSTS 主机。”

所以设置Strict-Transport-Security: max-age=0;

答案2

不，这是不可能的，甚至不应该是可能的，这又是 HSTS 的工作方式。为什么所有者要禁用对普通页面的 https 支持？您应该向所有者解释，https 在任何地方使用时效果最好。

相关内容