爲API設置嚴格傳輸安全標頭

Question

爲API響應設置Strict-Transport-Security標頭是否有意義（即請求不保持狀態）並且很可能不是源自瀏覽器。

Answer 1

不幸的是，HSTS RFC沒有提到API。

在2.1使用情況下，它指出：

o Web browser user wishes to interact with various web sites (some 
    arbitrary, some known) in a secure fashion. 

o Web site deployer wishes to offer their site in an explicitly 
    secure fashion for their own, as well as their users', benefit. 

http://tools.ietf.org/html/rfc6797#section-2.1

因爲它明確地指出：「網絡瀏覽器」我認爲它是安全的假設，HSTS設計用於通過網絡瀏覽器訪問的資源。

如果您認爲將來您的API可能會被W​​eb瀏覽器使用，那麼我建議添加HSTS標頭。如果您的API永遠不會通過Web瀏覽器訪問，那麼您不需要使用HSTS標頭，但是，值得將它添加到'將來證明'API中，因爲您決定在未來通過Web瀏覽器訪問API （和/或將來允許HTTP連接）。