Strict-Transport-Security（HSTS）& X-Frame-Options & X-XSS-Protection

一、Strict-Transport-Security（HSTS）

1、HSTS介绍

        HTTP Strict-Transport-Security（通常简称为 HSTS）响应标头用来通知浏览器应该只通过 HTTPS 访问该站点，并且以后使用 HTTP 访问该站点的所有尝试都应自动重定向到 HTTPS。  

2、语法

Strict-Transport-Security: max-age=<expire-time>
Strict-Transport-Security: max-age=<expire-time>; includeSubDomains
Strict-Transport-Security: max-age=<expire-time>; includeSubDomains; preload

3、指令

max-age=<expire-time>
浏览器应该记住的，只能使用 HTTPS 访问站点的最大时间量（以秒为单位）。

includeSubDomains 可选
如果这个可选的参数被指定，那么说明此规则也适用于该网站的所有子域名。

preload 可选 非标准
查看预加载 HSTS 获得详情。当使用 preload，max-age 指令必须至少是 31536000（一年），并且必须存在 includeSubDomains 指令。这不是标准的一部分。

4、示例

        现在和未来的所有子域名会自动使用 HTTPS，有效期（max-age）为一年。同时阻止通过 HTTP 访问页面或者子域的内容。