如何預防HSTS？

Question

我有一個sdk並希望支持http和https，但瀏覽器總是強制使用https。我知道這是瀏覽器的很好的功能，但許多使用http的網站無法使用我的sdk。

有誰知道我可以如何防止HSTS或解決方案呢？

Answer 1

僅當有關網站要求（或用戶手動將網站添加到他的瀏覽器時）纔會激活HSTS。因此，如果啓用HSTS，則爲，這是因爲網站支持https（HSTS標頭僅在安全的https響應中設置時纔有效）。

如果網站不提供http，你不能強制它。 （並且在使用HSTS時，繞過HSTS的所有http請求可能會重定向到https作爲答案）

請注意，如果HSTS標頭具有'includeSubdomains'選項，它將強制https對所有子域，即使它們不支持https。

最後一點：HSTS（和HTTPS）是一項安全功能，嘗試禁用它可能是一個壞主意。