由於 HSTS，chrome 不斷重定向

Question

我在/etc/nginx/sites-available/default中實現了一個像這樣的簡單 static 服務器，它將為一堆文件提供服務

server {

    listen 80;
    server_name www.x.app x.app;
    root /usr/share/app/front-end/build;
    location / {

        index index.html;
        autoindex on;
        autoindex_exact_size off;
            
    }

}

但是當我瀏覽http://www.x.app將立即被重定向到https://www.x.app但我想以 http 的身份瀏覽並找到很多Non-Authoritative-Reason: HSTS chrome 獲得的 header （這將使用307 Internal Redirect重定向我）由於“HSTS”而發生安全性，答案說使用add_header Strict-Transport-Security "max-age=0"; 在 NginX 配置中，但它不起作用 PS1：我清除了我的 chrome 緩存，也不起作用 PS2：

在 chrome 中查詢 HSTS/PKP 域：

Found:
static_sts_domain: app
static_upgrade_mode: FORCE_HTTPS
static_sts_include_subdomains: true
static_sts_observed: 1613773712
static_pkp_domain:
static_pkp_include_subdomains:
static_pkp_observed:
static_spki_hashes:
dynamic_sts_domain:
dynamic_upgrade_mode: UNKNOWN
dynamic_sts_include_subdomains:
dynamic_sts_observed:
dynamic_sts_expiry:

Answer 1

當谷歌推出 .app 頂級域時，他們宣布它將僅在 HTTPS 上可用，因為它將在 Chrome（和其他瀏覽器）代碼中預加載 HSTS，而不是依賴於在其網絡服務器中配置它的站點：

https://blog.google/technology/developers/introducing-app-more-secure-home-apps-web/

.app 域的一個主要好處是為您和您的用戶內置了安全性。 最大的區別在於 HTTPS 需要連接到 all.app 網站，這有助於防止廣告惡意軟件和 ISP 的跟蹤注入，此外還可以防止對開放 WiFi 網絡進行間諜活動。 因為.app 將是第一個可用於一般注冊的具有強制安全性的 TLD，它正在幫助 web 在很大程度上推動 HTTPS 無處不在的未來。

所以如果你不想使用HTTPS，你需要使用另一個域名。 請注意，.dev 處於相同的情況。