适用于开发环境的 Chrome 的 HSTS 解决方法

Question

我们正在寻找一种方法让 Chrome 绕过我们的开发环境的 HSTS 要求。

我们正在为https://foo.com开发一个项目。

在我们组织的内部 dns 中，我们有 foo.com.dev 的 DNS 条目，它指向我们的内部开发服务器，该服务器历史上允许我们通过https://foo.com.dev访问我们的开发服务器。对此网站的安全 Web 请求总是会遇到安全警告，我们可以绕过该警告，但在 Chrome 的最新版本中，绕过警告的功能似乎已被删除。我们可以继续在 IE 中使用此方法，但也希望能够测试 Chrome。

此外，开发人员还可以使用自己的机器名称作为后缀。例如https://foo.com.workstation10

任何建议都将非常受欢迎，因为重新配置我们整个开发环境的前景并不令人愉快。

需要明确的是 - 通过防火墙设置和 DNS 配置，对这些站点的访问完全仅限于内部用户。

Answer 1

您可以尝试以下选项之一：

1. 仅发送Strict-Transport-Securityfoo.com 的标头，并且不指定includeSubDomains。

2. 在服务器上为 foo.com.dev 制作自签名证书并导入到本地设备的 chrome 上。

3. 如果您的目标域仅限于内部用途，您只需badidea在 Chrome 窗口中输入即可绕过它。更多详细信息请参见此处

有关 HSTS 的更多详细信息，请参阅HSTS RFC