如何在rails中为HSTS关闭includeSubDomains？

Question

我不想要这个includeSubDomains选项

? curl -s --head https://example.com/ |grep Strict 
Strict-Transport-Security: max-age=15552000; includeSubDomains

这似乎不起作用:

config.force_ssl = true
config.ssl_options = { hsts: { subdomains: false } }

我究竟做错了什么？

Rails 5.0.1

Answer 1

问题是Rails 5有一个初始化器new_framework_defaults.rb,它有这一行:

Rails.application.config.ssl_options = { hsts: { subdomains: true } }

因为它在初始化程序中,无论您在环境配置中放置什么,这些设置都没有效果.我在这里打开了一个问题:https://github.com/rails/rails/issues/27638