2. 认识下HSTS
如上使用重定向的方式，把http重定向到https存在安全性问题，因为在重定向https之前会存在一次http明文的请求，那么攻击者很容易劫持http请求，因此现在我们想当用户浏览器发起http请求的时候，浏览器直接转换成https请求。然后通过https请求页面，这样的话，攻击者就一般很难进行攻击了。我们可以请看如下示意图，如下所示：
步骤可以理解为如下：
1. 用户在浏览器输入 http://xxx.abc.com 的时候，浏览器知道该域名需要使用https来进行通信。
2. 因此浏览器直接向网站发起https请求(比如https://xxx.abc.com) 这样的。
3. 网站返回响应的内容。
那么现在的问题就是说，浏览器怎么知道该域名需要使用https呢？因此这个时候我们出现了HSTS了。
HSTS是啥？
HSTS的全称是 HTTP Strict-Transport-Security. 它是国际互联网工程组织IETF发布的一种互联网安全策略机制。采用HSTS策略的网站将保证浏览器始终链接到该网站的https加密版本。不需要用户手动在URI地址栏中输入加密地址，来减少会话被劫持的风险。
HSTS的基本语法如下：
Strict-Transport-Security: max-age=expireTime [; includeSubDomains] [; preload]
max-age 是必须的参数，它是一个以秒为单位的数值，它代表着HSTS Header的过期时间，一般设置为1年，即 31536000秒。
includeSubDomains 是可选参数，如果设置该参数的话，那么意味着当前域名及其子域名均开启HSTS的保护。
preload是可选参数，只有当你申请将自己的域名加入到浏览器内置列表的时候才需要使用到它。
下面我们先来看下百度的也是这样处理的，我们先在浏览器URI输入 http://www.baidu.com/ 后回车，浏览器会自动转化成 https://www.baidu.com/ 这样的请求了，但是我们使用chrome浏览器看网络下的请求可以看到如下会发送2次请求，如下所示：
第二次是https请求，如下所示：
我们可以看到如上，第一次请求状态码是307，并且请求头有这样的标识 "Provisional headers are shown", 具体的含义可以理解为浏览器拦截了该请求，并且该请求并没有发送出去。因此浏览器发现该域名需要使用https来请求，所以就发了第二次https请求了。
nginx下配置HSTS
在nginx配置文件上设置HSTS响应头部，代码如下：
add_header Strict-Transport-Security "max-age=172800; includeSubDomains"
因此nginx的配置如下：
