Amazon AWS 307响应和永久重定向到HTTPS

Question

我试图全面了解我的问题.我有来自GoDaddy的域名,AWS Route53用于管理DNS记录.Route53向负载均衡器发送请求.

对于webserver,我有一个负载均衡器,它将请求路由到单个(现在)EC2实例,EC2实例中的nginx获取请求并向客户端发送响应.

问题是,当我http://用来执行请求时,AWS会将请求重定向到https://带有307 Internal Redirect响应的域版本.响应对象也有Non-Authoritative-Reason: HSTS标题.

问题是什么,重定向请求是哪个组件？

Answer 1

它既不是组件.

这不是AWS的任何东西......它是浏览器.它是浏览器生成的内部重定向,与HSTS ... HTTP严格传输安全相关.

如果您现在没有这样做,那么可能在过去,您已经Strict-Transport-Security:在此域的响应中生成了一个标题,并且浏览器已经记住了这一事实,阻止您不安全地访问该站点,因为它打算这样做.

Answer 2

我知道我会参加派对,但我想在Wordpress论坛上发布这篇文章的实际完整解决方案.

只是从服务器中删除HSTS标头将无法解决它,因为浏览器缓存了HSTS响应,并将继续为该网站触发https://.在Chrome/Chromium中,您可以删除该网站,about://net-internals/#hsts但这对您的访问者来说几乎不是一个解决方案,因为您不知道有多少已经将其作为HSTS缓存.

在服务器端,您需要设置max-age=0哪个(根据RFC)要求浏览器停止将该主机视为HSTS.

在Apache中,执行以下操作:

<IfModule mod_headers.c>
    Header always set Strict-Transport-Security "max-age=0"
</IfModule>

并确保您启用了该headers模块(您可以a2enmod headers在Ubuntu/Debian/Mint上使用).