HTTP Strict Transport Security 引发的思考（Spring Security 的安全 HTTP 响应头）

最新推荐文章于 2025-10-12 12:25:24 发布
原创 最新推荐文章于 2025-10-12 12:25:24 发布 · 1.2k 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#http #spring #java #https #hsts

本文探讨了在前后端分离项目中，当SpringBoot后端启用HTTPS且设置Strict-Transport-Security头时，如何解决浏览器自动将http转为https的问题。重点介绍了问题的原因和通过全站HTTPS解决思路。

文章目录

摘要

在前后端分离项目中，当我使用 http 代理前端，用 Spring Boot 的 https 提供的接口时，出现了问题。

问题

在浏览器中输入访问地址时，http 会被自动转为 https, 导致项目无法正常访问。

导致问题的原因

当后端使用 Spring Security 并开启 https 时，响应头会增加一个字段 Strict-Transport-Security: max-age=31536000 ; includeSubDomains

正是因为多了这个字段，浏览器才会自动将 http 协议的地址强制转换为 https。

解决思路

前后端都使用 https 来提供服务。

HSTS漏洞（缺少Strict-Transport-Security头）
墨痕诉清风的博客
05-17 3797
HTTP严格传输安全性（HSTS）告诉浏览器只能使用HTTPS访问网站。检测到您的Web应用程序未实现HTTP严格传输安全性（HSTS），因为响应中缺少严格传输安全性标头。理想回复响应头因存在：Strict-Transport-Security: max-age=31536000信息。nginx添加响应头。
JS `HTTP Headers` 的安全配置：`Strict-Transport-Security`, `X-Content-Type-Options`
weixin_41455464的博客
07-18 929
如果快递单被人篡改，或者信息不全，那你的包裹（数据）可能就会被偷走，或者送到错误的地方。所以，配置好 HTTP Headers，就相当于给你的快递加上了防盗锁和追踪器，确保安全送达。这中间就存在一个窗口期，黑客可以利用中间人攻击，截取你的信息，或者把你重定向到钓鱼网站。它告诉浏览器：“嘿，哥们儿，以后访问我的网站，直接用 HTTPS，别废话！这就可能导致安全问题，例如，攻击者可以将恶意代码伪装成图片，然后通过浏览器嗅探漏洞来执行。想象一下，你的网站只支持 HTTPS，但用户第一次访问时，傻乎乎地输入了。
SpringBoot配置属性之Security
weixin_34357962的博客
01-14 587
SpringBoot配置属性系列 SpringBoot配置属性之MVC SpringBoot配置属性之Server SpringBoot配置属性之DataSource SpringBoot配置属性之NOSQL SpringBoot配置属性之MQ SpringBoot配置属性之Security SpringBoot配置属性之Migrati...
从零构建安全Java服务，掌握这6种防护机制就够了
最新发布
CodeTrick的博客
10-12 1029
掌握Java服务安全防护核心方法，有效抵御常见网络攻击。涵盖身份认证、权限控制、输入验证等6大机制，适用于Web应用与微服务架构。方案实用、易于实施，助力开发者构建高安全系统，值得收藏。
HTTP 响应头 Strict-Transport-Security 缺失漏洞
itScholar001的博客
04-03 1361
这个漏洞就是说明网站的HTTP响应头中没有设置Strict-Transport-Security，没有设置则可以通过将https自己手动改成htttp的方式进行访问。HTTP 响应头 Strict-Transport-Security 缺失漏洞。如果此时你用http去访问的话则会报403 forbidden错误。http去访问的话则会报403 forbidden错误。添加了这个之后请求的响应头就会有这一段。2.手动在代码中设置。
HSTS 网站http跳转到https
乌云大帝的博客
11-05 3363
HTTP Strict Transport Security (通常简称为HSTS) 是一个安全功能，它告诉浏览器只能通过HTTPS访问当前资源, 禁止HTTP方式. 作用 一个网站接受一个HTTP的请求，然后跳转到HTTPS，用户可能在
webfuture：提示“Strict-Transport-Security头未设置”漏洞的解决方法
bbsh2099的博客
06-02 590
Web 服务器对于 HTTP 请求的响应头中缺少 Strict-Transport-Security，这将导致浏览器提供的安全特性失效。当 Web 服务器的 HTTP 头中包含 Strict-Transport-Security 头时，浏览器将持续使用 HTTPS 来访问 Web 站点，可以用来对抗协议降级攻击和 Cookie 劫持攻击。修改we.config，给 HTTP 响应头加上 Strict-Transport-Security。
SpringSecurity系列——安全Http响应头day8-2（源于官网5.7.2版本）
qq_51553982的博客
08-12 1762
}如果您不想添加默认值并希望明确控制应该使用的内容，则可以禁用默认值以下配置指定 Spring Security 不应再指示浏览器阻止内容} }当然我们也可以自定义一些Header，前后端分离里你需要与前后端约定好，这样以下配置将标头添加到响应中} }...
详解spring security安全防护
08-27
Spring Security支持多种Security Header，包括Cache-Control、Content-type options、HTTP Strict Transport Security、X-Frame-Options、X-XSS-Protection等。这些Header可以提供额外的安全保护，防止攻击和数据...
HTTP头安全：后端漏洞扫描重点
架构师的AI之路，分享AI应用开发架构的学习与实践。
06-25 835
本文旨在帮助开发者和安全工程师理解HTTP头在Web应用安全中的关键作用，掌握如何通过正确配置HTTP头来防御常见Web攻击，以及在后端漏洞扫描中如何识别和修复HTTP头相关的安全问题。介绍HTTP头安全的核心概念分析常见安全头及其防护原理提供后端漏洞扫描中的HTTP头检查重点展示实际配置示例和代码实现探讨未来发展趋势和挑战HTTP头(HTTP Headers)：客户端和服务器之间交换的元数据，用于控制请求和响应的行为安全头(Security Headers)
SpringBoot集成Spring Security全解：从入门到精通实战指南（亲测可用）
本博客聚焦 YOLOv11 全流程落地，涵盖架构优化、数据集处理、训练技巧与多场景部署，兼及国产数据库、Java 开发与 AI 模型应用，内容兼顾理论与工程实践，为开发者提供系统干货，助力高效提升技术能力。
06-10 2296
1.3 Spring Boot的“魔法”：让安全配置“开箱即用” 如果说Spring Security是功能强大的“瑞士军刀”，那么Spring Boot就是那位能帮你把刀用得行云流水的“魔术师”。在没有Spring Boot的时代，配置Spring Security是一件相当繁琐的事情，你需要编写大量的XML或Java配置代码，来定义各种过滤器、处理器和提供者。 Spring Boot的出现彻底改变了这一切。它遵循“约定优于配置”的原则，通过spring-boot-starter-security这个启
Spring Security
weixin_30767921的博客
06-08 93
对当前项目中使用到的Spring Security做一个简单的理解总结，方便以后查阅。文章有疏漏之处，欢迎指正。 Spring Security是一个能够为基于Spring的企业应用系统提供声明式的安全访 问控制解决方案的安全框架。它提供了一组可以在 Spring 应用上下文中配置的 Bean，充分利用了Spring IOC和AOP功能，为应用系统提供声明式的安全访问控...
在Spring Boot中设置响应头
weixin_42514002的博客
08-15 1548
在Spring Boot中设置响应头 在Spring Boot应用程序中，设置HTTP响应头是一个常见的需求，尤其是当我们需要控制缓存、跨域资源共享（CORS）、安全性和内容类型等时。在本篇文章中，我们将介绍如何在Spring Boot中设置响应头，并提供实用的代码示例。 1. 什么是HTTP响应头？ HTTP响应头是服务...
HTTP 安全响应头（Security Response header）配置
qq_42445433的博客
08-11 5897
HTTP 安全响应头（Security Response header）配置
Strict-Transport-Security（HSTS）& X-Frame-Options & X-XSS-Protection
weixin_42451330的博客
06-12 1151
本文对Strict-Transport-Security（HSTS）& X-Frame-Options & X-XSS-Protection 进行了介绍，列举了常用指令及示例。
关于 HTTP 响应头字段 Strict-Transport-Security
2007 年 ~ 2025 年，深耕 SAP 技术 18 年
07-28 2236
当你在Chrome开发者工具的Network面板中看到一个请求的Response Header字段"Strict-Transport-Security"的值为"max-age=31536000;preload"时，这表示网站已启用HSTS策略，浏览器将自动强制使用HTTPS连接与该网站进行通信，并且该策略可能适用于所有子域名，而且该网站可能已被添加到浏览器的HSTS预加载列表中。这些措施有助于提高网站的安全性，防止恶意攻击，并确保用户的连接是加密和安全的。
检测到目标Strict-Transport-Security响应头缺失
lxyoucan的博客
07-14 7279
其可选的值有： max-age=SECONDS，表示本次命令在未来的生效时间 includeSubDomains，可以用来指定是否对子域名生效 漏洞危害： Web 服务器对于 HTTP 请求的响应头中缺少 Strict-Transport-Security，这将导致浏览器提供的安全特性失效，更容易遭受 Web 前端黑客攻击的影响。
springmvc配置HTTP Strict-Transport-Security
05-10
这将为响应添加Strict-Transport-Security头。 max-age参数指定了HSTS应该在客户端缓存中保留多长时间，并且includeSubDomains指定了子域也应该强制使用HTTPS。 3. 配置HTTPS连接，Spring MVC应用程序必须在HTTPS上...
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

高建伟-joe

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值