Https 是否只需要更改web应用程序的代码以支持HST？

如果我希望客户端始终使用HTTPs连接，那么我是否只需要在应用程序的代码中包含头，还是还需要在服务器上进行更改？此外，这与每次用户尝试使用HTTP时将用户重定向到HTTPs页面有什么不同？

如果您只有HTTP->HTTPs重定向，客户端可能仍会尝试向您发布敏感数据（或获取包含敏感数据的URL）-这将使其公开。如果它知道你的站点是HSTS，那么它甚至不会尝试通过HTTP访问它，这样就消除了暴露。在我看来，这是一个相当小的胜利——更大的风险是，由于微软、Mozilla、Opera和谷歌的政策，所有人都盲目信任大量的根CA。

API是基于网络的吗？此场景中的客户端是什么？@Ram-不涉及API。例如，我有一个网站，总是需要一个安全的渠道。客户端是一个web浏览器。从未真正考虑过其他客户机，但会渴望知道哪些其他实例允许HST？主要区别在于，您触发客户机（如果它具有该功能）甚至不尝试使用HTTP，从而阻止他们通过HTTP发送贵重物品以试图到达您的服务器（无论如何，服务器都不会处理它）。对于服务器端，您在多个级别上有很多选择：@Ram-我之前读过Wikipedia，因此我的帖子确认这只是一个代码更改。如果是这样，这与将用户重定向到HTTP页面（例如URL重写、mod_重写等）有何不同？您是否可以详细说明您的评论

如果您只有HTTP->HTTPS重定向，客户端可能仍会尝试向您发布敏感数据（或获取包含敏感数据的URL）-这会让它暴露在公众面前。

如果更大的风险确实是大量的根证书颁发机构，您会推荐一种解决方法吗？使用HTTPS，在来回传递任何其他数据（请求URI、cookie、POST数据）之前，会建立一个“安全”隧道。在HTTP中，这些东西就会出现。如果浏览器知道您的站点不使用HTTP，它将永远不会通过HTTP传输这些元素，因此坏人很难观察流量并读取最初发送的数据包组中包含的信息。通过删除那些有技术策略的数据包或那些您有理由不信任的数据包来管理您的根列表。随着风险水平的增加（比如说你在网上银行），你应该减少信任。随着风险水平的降低，你可能会更加信任。IIRC谷歌确实发布了HSTS列表，可能只在Chrome上发布。如果您分发的HTTP链接不合格（但不合格）http:///example.com/sensitive/data)然后什么也不暴露，但是如果URL中有敏感数据，或者浏览器决定通过HTTP发布表单，则可以在发送到服务器的过程中看到该表单。在HTTPS URL中，SSL协商首先发生。