查阅相关资料,发现这是浏览器的HSTS(HTTP Strict Transport Security)功能引起的。在安装配置SSL证书时,可以使用一种能使数据传输更加安全的Web安全协议,即在服务器端上开启HSTS ,它会告诉浏览器只能通过HTTPS访问,而绝对禁止HTTP方式。

因此,只要关闭浏览器的HSTS功能就可以解决这个问题,但是只能通过特定的方式,而不是清除浏览器缓存那么简单。

Chrome浏览器

1.地址栏中输入chrome://net-internals/#hsts。

2.在Delete domain security policies中输入项目的域名,并Delete(删除)

3.可以在Query domain测试是否删除成功。

Opera浏览器

和Chrome方法一样。

Safari浏览器

1.完全关闭Safari浏览器。

2.删除~/Library/Cookies/HSTS.plist这个文件。

3.重新打开Safari即可(极少数情况下,可能需要重启系统)。

Firefox浏览器

1.关闭所有已打开的页面。

2.清空历史记录和缓存。

3.地址栏输入about:permissions。

4.搜索项目域名,并点击Forget About This Site。

快捷键Ctrl+Shift+H,搜索网站,右键点 <忘记此网站>


EDGE浏览器

1.地址栏中输入edge://net-internals/#hsts。

2.在Delete domain security policies中输入项目的域名,并Delete(删除)

3.可以在Query domain测试是否删除成功。

 _________________________________________

HSTS 是 HTTP 严格传输安全(HTTP Strict Transport Security)的缩写。这是一种网站用来声明他们只能使用安全连接(HTTPS)访问的方法。

如果一个网站声明了 HSTS 策略,浏览器必须拒绝所有的 HTTP 连接并阻止用户接受不安全的 SSL 证书。目前大多数主流浏览器都支持 HSTS(只有一些移动浏览器可能无法使用它)。

HSTS 的工作原理如下:通常,当在 Web 浏览器中输入 URL 时,若跳过协议部分,浏览器会假设使用 HTTP 协议并发出 HTTP 请求,然后 Web 服务器返回 301 状态码将请求重定向到 HTTPS 站点,接下来浏览器使用 HTTPS 连接到该站点。而当 HSTS 安全策略生效时,服务器通过 HTTP 响应头中的“strict-transport-security”向浏览器提供详细说明。例如“strict-transport-security:max-age=31536000;includesubdomains;preload”,表示从接收该响应头的时刻起,接下来的一年(31536000 秒)内连接到该网站及其子域都必须使用 HTTPS 连接,完全不允许 HTTP 连接。如果浏览器接收到使用 HTTP 加载资源的请求,则必须尝试使用 HTTPS 请求替代,如果 HTTPS 不可用,则必须直接终止连接。此外,如果证书无效,浏览器将阻止建立连接。

HSTS 的主要作用包括避免用户遭受使用 SSL Stripping(剥离)的中间人攻击,也是一个防止 cookie 劫持的有效方法。

然而,HSTS 并非完全安全。首次访问网站时,用户不受 HSTS 保护,因为攻击者可在中间人攻击中删除或添加头部,而 HSTS 报头只有通过 HTTPS 传递才可信。另外,HSTS 报头中的“max-age”会在每次浏览器读取时刷新,最大值为两年,这意味着只要两次访问之间不超过两年,保护就是永久性的;若超过两年未访问一个网站,它会被视为新网站。

为了增强安全性,可以使用 HSTS 预加载列表。Chromium 项目维护了一个使用 HSTS 的网站列表,该列表通过浏览器发布。如果把网站添加到预加载列表中,浏览器会首先检查内部列表,这样网站就永远不会通过 HTTP 访问,甚至在第一次连接尝试时也不会。不过,要将域名添加到 HSTS 预加载列表,该域的站点必须满足一些要求,例如拥有有效的证书和最新的密码、将所有通过 HTTP 的访问请求重定向到 HTTPS、确保以上要求适用于所有域名和子域名(根据 DNS 记录)、通过 HTTPS 服务返回带有 basedomain、max-age(至少为 31536000 即 1 年)、includesubdomains 指令和 preload 指令的“strict-transport-security”header 等。访问 hstspreload.org 并使用表格提交域名,如果符合条件,域名将被加入队列。

需要注意的是,浏览器不能访问或下载预加载列表,它作为硬编码资源和新的浏览器版本一起分发。这导致结果出现在列表中需要相当长的时间,而域从列表中删除也需要较长时间。如果希望将站点添加到列表中,就必须确保能够在较长时间内保持对所有资源的完全 HTTPS 访问,否则网站可能会完全无法访问。

如果要从 Chrome 的 HSTS 缓存中删除一个域名,可以访问 chrome://net-internals/#hsts,在“delete domain security policies”下的文本框中输入要删除的域,点击旁边的“delete”按钮。之后可检查移除是否成功,即在“query hsts/pkp domain”下的文本框中输入要验证的域,点击“query”按钮,返回“not found”则表示删除成功。但如果域名在 HSTS 预加载列表中,清除 HSTS 缓存将无效,并且无法强制进行 HTTP 连接。

总的来说,HSTS 是一种有用的网络安全机制,可提高网站的安全性和可靠性,有效防范中间人攻击和跨站请求伪造等攻击。但同时也需要注意其局限性,并正确配置和管理以确保安全性。


点赞(0) 打赏

评论列表 共有 0 条评论

暂无评论
立即
投稿

微信公众账号

微信扫一扫加关注

发表
评论
返回
顶部