nginx开启HSTS让浏览器强制跳转HTTPS访问详解

在上一篇文章中我们已经实现了本地node服务使用https访问了，看上一篇文章效果可以看如下：

但是如果我们现在使用http来访问的话，访问不了。如下图所示：

因此我现在首先要做的是使用nginx配置下，当用户在浏览器下输入http请求的时候使用nginx重定向到https下即可。因此我们现在需要做一个简单的nginx重定向功能。

因此在我们的nginx中需要加如下重定向配置：

server { listen xxx.abc.com; server_name xxx.abc.com; rewrite ^/(.*)$ https://$host$1 permanent;}

因此nginx主要的配置代码如下：

server { listen xxx.abc.com; server_name xxx.abc.com; rewrite ^/(.*)$ https://$host$1 permanent;}server { listen  443 ssl; server_name xxx.abc.com; ssl_certificate  cert/server.crt; ssl_certificate_key cert/server.key; ssl_session_cache shared:SSL:1m; ssl_session_timeout 5m; ssl_ciphers HIGH:!aNULL:!MD5; ssl_prefer_server_ciphers on; location / { proxy_pass http://localhost:3001; }}

如上配置后，我们需要重新启动下nginx即可生效，我们在浏览器下输入域名 http://xxx.abc.com 后 会自动重定向到 https://xxx.abc.com/ 了，我们再来看下 我们网络上的请求有2个请求，如下所示：

如上请求可以看到，浏览器首先会向网站发起一次http请求(http://xxx.abc.com), 在得到一个重定向响应后，再会发起一次https请求并得到最终的响应内容。对用户来讲，它的操作是透明的，用户体验也是不错的，但是在https链接之前会存在一次明文的http请求和重定向。那么攻击者可以以中间人的方式劫持http请求。来进行后续的攻击。比如窃听数据。篡改请求或响应、跳转到钓鱼网站等操作。因此http请求是不够安全的，所以最近几年所有的网站都要以https来访问的。

那么以劫持http请求并跳转到钓鱼网站类为列子，来看看大致的劫持流程是如下这个样子的。

操作步骤如下：
1. 浏览器会发起一次http请求(比如http://xxx.abc.com). 发出请求后，攻击者会以中间人的身份来劫持该http请求。
2. 攻击者劫持该http请求后，会把当前请求转发给钓鱼网站(比如 http://xxx.yyy.com)。
3. 钓鱼网站会返回假冒的网页内容。
4. 最后攻击者把假冒的网页内容返回给浏览器。

如上http请求根本就没有重定向到https网站到，而是攻击者直接劫持了http请求，最终把钓鱼网站返回给浏览器了。因此如果直接http重定向的话，会存在一次http请求明文的问题，因此直接使用http重定向是不安全的，因此就出现了HSTS来解决这个问题。下面我们来认识下HSTS吧。