无法在邮递员的 HEADERS 响应中看到 strict-transport-security 参数？

Question

我正在尝试使用 Scala 代码在 Play 框架类型安全服务器中实现 HSTS。

我已使用以下行更新了 application.config 文件：

 play.filters.enabled += "play.filters.headers.SecurityHeadersFilter"
 play.filters.headers.frameOptions = "DENY"
 play.filters.https.strictTransportSecurity="max-age=31536000;includeSubDomains; preload"

所以，当我在邮递员中执行 URL 时添加这个：https://www.mywebsite.com，我希望在标题栏中看到：

 content-length: 85
 content-type: text/html; charset=utf-8
 request-time: 2
 x-frame-options: DENY
 strict-transport-security: max-age=15552000; preload

这些内容长度、类型和时间已经到来，但是这些严格的传输参数并没有反映在 postman 中的 headers 响应中，因为配置文件中的代码更改。

除了上面这行代码，我什至还在 app.config 中添加了这行代码：

    https {
     strictTransportSecurity = "max-age=31536000; includeSubDomains"
     redirectStatusCode = 308
      }

但这些更改对响应标头也没有影响。

简而言之，我期望的是，如果我在 git bash 中为我的网站使用 curl，我会看到与我在 Facebook 中看到的相似：

 curl --head https://www.facebook.com
 x-frame-options: DENY
 strict-transport-security: max-age=15552000; preload
 x-content-type-options: nosniff

当我输入 https://www.mywebsite.com 时，我的 URL 的方式相同，我需要查看：

     strict-transport-security: max-age=15552000; preload

在标题响应列中，但我没有看到这个。

谁能指出我在哪里出错了。我是 HSTS 和 Scala 以及安全任务的新手。

我尝试在 App.config 文件中添加

  play.filters.enabled += "play.filters.https.RedirectHttpsFilter"
  play.filters.https.redirectEnabled = true
  play.filters.enabled += "play.filters.headers.SecurityHeadersFilter"
  play.http.forwarded.trustedProxies=["0.0.0.0/0", "::/0"]
  play.filters.https.strictTransportSecurity = "max-age=31536000; 
  includeSubDomains; preload"
  play.filters.https.redirectStatusCode = 301

但没有进入标题响应。我还应该在哪里更改 playframework 中的代码以将其显示在标题中。

Answer 1

我不知道 Scala 或 playframework，但从快速的 Google 来看，在我看来 strictTransportSecurity 不是SecurityHeadersFilter 的一部分，而是part of RedirectHttpsFilter。

那么你需要包含这个过滤器吗？

play.filters.enabled += play.filters.https.RedirectHttpsFilter

还要注意这条评论：

默认情况下，重定向仅在 Prod 模式下发生。要覆盖它，请设置

play.filters.https.redirectEnabled = true.

请注意，如果您对纯文本 HTTP 有任何需求，HSTS 可能会破坏您的网站 - 例如您尚未迁移到 HTTPS 的子域（例如 blog.example.com），或使用相同域的内部站点（intranet.示例.com）。请先将其设置为 LOW max-age，并在您证明它不是导致和问题时建立它，请不要最初使用 includeSubDomains，真的，真的不要包含preload，直到你准备好（我个人认为很少有网站应该设置这个）。我有blogged about the dangers of switching these on when people do not fully understand these，而且，不冒犯你，如果你只是为了打开这些而苦苦挣扎，那么我现在肯定会把你算在那个阵营里！