Nginx 中的 HSTS：是否也应该在子域服务器块中添加 Strict-Transport-Security 标头？

Question

让我们采取以下nginx.conf与配置文件server的块example.com和subdomain.example.com：

http {
    ...

    server {
        listen [::]:80 ipv6only=off default_server;
        server_name example.com;
        return 301 https://example.com$request_uri;
    }
    server {
        listen [::]:443 ipv6only=off ssl default_server;
        server_name example.com;
        add_header Strict-Transport-Security
            "max-age=63072000; includeSubDomains; preload" always;
        ...
    }

    server {
        listen [::]:80 ipv6only=off;
        server_name subdomain.example.com;
        return 301 https://subdomain.example.com$request_uri;
    }
    server {
        listen [::]:443 ipv6only=off ssl;
        server_name subdomain.example.com;
        add_header Strict-Transport-Security
            "max-age=63072000; includeSubDomains; preload" always; # <-- again ???
        ...
    }
}

includeSubDomains标题的部分显然告诉浏览器标题也适用于所有子域。

但是，如果该浏览器subdomain.example.com在看到 之前访问example.com，那将没有任何帮助，不是吗？因此，为了涵盖这种情况，我也需要add_header在所有子域服务器块中添加相同的内容......对吗？

Answer 1

您是正确的，最好在Strict-Transport-Security任何需要它的地方都有 HSTS标头，以确保客户端即使在sub.example.com之前访问过example.com或缓存的 HSTS 信息已过期也能获取它。

该includeSubDomains标志会影响它所在位置的所有子域。这意味着includeSubDomainsonsub.example.com生效*.sub.example.com而不是*.example.com。（这是很自然的，因为如果 egexample.co.uk会影响，那就不好了*.co.uk。）

• 如果你不使用任何sub.sub.example.com你可以离开Strict-Transport-Security你的子域的标题没有这个标志。

• subA.example.com保护不了subB.example.com。

Answer 2

正确的。includeSubdomains 选项用于在当前域提供的 html 页面内链接的所有资源上强制使用 https。

引用https://www.nginx.com/blog/http-strict-transport-security-hsts-and-nginx/：

例如，https ://www.example.com的 HTML 响应可以包含对来自https://example.com的资源的请求，以确保为 example.com 的所有子域设置了 HSTS。

还要注意，如果add_header在 location { } 块中添加指令，则还需要add_header Strict-Transport-Security ...在该块内重新定义。再次引用：

NGINX 配置块从它们的封闭块继承 add_header 指令，所以你只需要将 add_header 指令放在顶级服务器块中。有一个重要的例外：如果一个块本身包含一个 add_header 指令，它不会从封闭块中继承标头，并且您需要重新声明所有 add_header 指令：