asp.net-mvc - 启用严格的传输安全 mvc

Question

我想启用严格的传输安全。我的网站启用了 https。下面是我启用 hsts 的代码。

<system.webServer>
    <httpProtocol>
      <customHeaders>
     
          <add name="X-Frame-Options" value="SAMEORIGIN" />
          **<add name="Strict-Transport-Security" value="max-age=31536000"/>**
         .....
        </customHeaders>
    </httpProtocol>

以上设置是否足以启用严格的传输安全性，还是我还需要添加以下设置，即。

<rewrite>
      <rules>
        <rule name="HTTP to HTTPS redirect" stopProcessing="true">
          <match url="(.*)" />
          <conditions>
            <add input="{HTTPS}" pattern="off" ignoreCase="true" />
          </conditions>
          <action type="Redirect" url="https://{HTTP_HOST}/{R:1}"
              redirectType="Permanent" />
        </rule>
      </rules> 
      <outboundRules>
        <rule name="Add Strict-Transport-Security when HTTPS" enabled="true">
          <match serverVariable="RESPONSE_Strict_Transport_Security"
              pattern=".*" />
          <conditions>
            <add input="{HTTPS}" pattern="on" ignoreCase="true" />
          </conditions>
          <action type="Rewrite" value="max-age=31536000" />
        </rule>
      </outboundRules>
    </rewrite> 

如果两个设置都是强制性的，那么需要重写什么我们可以仅通过以下方式启用hsts吗或仅由重写。

为什么需要重写。

This site说要添加重写登录名

<add name="Strict-Transport-Security" value="max-age=31536000"/>

Answer 1

此 header 强制浏览器使用 HTTPS。如果应用程序在某处给出了 HTTP 链接，或者如果用户尝试使用 HTTP 输入 URL，浏览器会将他重定向到 https。要使用 HSTS，站点需要有效的 SSL 证书。重写不是强制性的，但它很好。因为，如果用户第一次使用 https 进入网站，那么无论何时他来到该网站，都会自动重定向用户，直到过期，每次访问的最大年龄也会更新。但是如果用户在http模式下进入一次，STS可能无法工作，直到他在https中使用该站点一次。最好使用重写。

<system.webServer>
<httpProtocol>
<customHeaders>
<add name="Strict-Transport-Security" value="max-age=xxxxxx"/>
</customHeaders>
</httpProtocol>
</system.webServer>

https://www.owasp.org/index.php/HTTP_Strict_Transport_Security_Cheat_Sheet

https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Strict-Transport-Security