Nginx 第2页

引言 HSTS（HTTP Strict Transport Security）是一项重要的Web安全机制，通过Strict-Transport-Security响应头告诉浏览器：「这个网站以后必须用HTTPS访问」。一旦浏览器接收到这个头，就会把网站加入HSTS列表，后续所有HTTP请求都会自动升级为HTTPS。 但问题来了：HSTS max-age会在浏览器端缓存很长时间（通常至少一年，preload更是永久记住）。如果你在测试HSTS配置、或者误配置了HSTS导致网站...

HSTS max-age 到底是什么 HSTS（HTTP Strict Transport Security）是网站安全的重要一环，而 max-age 参数则是整个策略的核心——设错了，要么浏览器根本不记，要么记了没法改。本文整理了6个 Nginx HSTS max-age 设置时最常见的错误，逐一给出排查方法和正确配置。 max-age 告诉浏览器：在多少秒内，访问这个域名时必须使用 HTTPS。比如 max-age=31536000 就是一年。这个参数有几个关键点： 单...

问题背景 网站从 domain-a.com 迁移到 domain-b.com，或者做多域名合并时，用 return 301 做跨域名重定向，但发现用户访问 domain-a.com/search?q=nginx 跳转到 domain-b.com/search 后，?q=nginx 没了。 这不是 Nginx 的 bug，而是 return 指令的行为特性：当你在 return 的目标 URL 里写了完整路径但没有显式拼接参数时，原始查询字符串不会自动附加。 方案一：拼接 （...

# Nginx rewrite 重定向参数重复问题解决：5个实战案例让查询字符串不再翻倍 ## 问题描述 在配置Nginx rewrite重定向时，一个常见但容易被忽视的问题：**重定向后URL中的查询参数出现重复**，例如原始请求是 `/test?a=1`，重定向后变成 `/test?a=1&a=1` 或 `/target?a=1&a=1&b=2`。 这个问题会导致后端应用解析参数出错、业务逻辑异常，甚至引发安全问题（如重复扣款、重复提交等）。 ## 问题现象：重定...

一、为什么302和307的区别能让表单数据消失？ 做Nginx重定向的时候，很多人觉得302和307都是"临时重定向"，随便用哪个都行。但当你的请求是POST方法的时候，这一个选择就能让用户的表单数据直接消失。 核心区别就一句话：302允许浏览器把POST变成GET，307不允许。 这意味着什么？当用户提交了一个表单，你的服务器返回302重定向，浏览器可能把POST请求变成GET请求去访问新地址——请求体（body）里的数据全没了。而307会要求浏览器用原来的POST方...

前言：为什么 max-age 不能一上来就设两年 HSTS（HTTP Strict Transport Security）的 max-age 参数决定浏览器记住"强制 HTTPS"指令的时间。设短了，安全效果打折扣；设长了，一旦证书或 HTTPS 配置出问题，用户在有效期内无法访问你的网站。 很多教程上来就让你直接设 max-age=63072000（两年），这是 HSTS preload 的提交要求，不是你第一天就该用的值。 正确的做法：分阶段切换，从短到长，每一步都验证无...

问题现象：return 302 后参数莫名其妙消失了 很多人在 Nginx 里配了 return 302 https://example.com$request_uri;，以为这样能把所有请求（包括查询参数）一并转过去。但实际测试会发现：原始请求的 ?utm_source=xxx&utm_medium=xxx 在重定向后完全丢失，Google Analytics 里看不到任何来源数据。 这不是 Nginx 的 bug，而是 return 指令的默认行为：当你在重定向目...

前言：UTM参数消失的罪魁祸首找到了 你在Google Analytics里看到一堆direct流量，百思不得其解：链接明明带了utm_source、utm_medium、utm_campaign，用户点进来的时候也有，怎么就变成direct了？原因很可能就藏在你的重定向链里。 本文从真实故障场景出发，解释清楚：为什么多次重定向会把UTM参数一层层剥掉、怎么快速诊断、以及从哪一层开始根治。 一、先搞清楚：为什么重定向会丢掉参数 1.1 每个跳转都是独立的HTTP请求 重定向不...

问题现象 在 Nginx 配置中，为了让 HTTP 跳转 HTTPS 时保留查询参数（比如 UTM 追踪参数、分页参数 page 等），很多人会用 return 301 https://$host$request_uri; 这样的写法。配置看起来没问题，但跳转后浏览器却报 404，页面找不到。 这个问题在配置看起来"完全正确"的情况下尤其让人困惑。本文把最常见的 5 个原因逐一拆解，帮你快速定位并修复。 原因一：return 301 后面跟的 URL 路径和实际站点目录不匹...

为什么302会导致POST参数丢失？ 这是HTTP协议的历史遗留问题。RFC 7231规定：302响应要求客户端用GET方法访问新地址——也就是说，浏览器收到302后，会主动把POST转为GET，请求体自然就丢了。 很多人以为302只是"临时搬个家"，但实际上它是"搬完家把包裹扔了再过去"。这个问题在表单提交、API调用、支付回调等场景尤为常见，排查起来还很隐蔽——浏览器不会报错，只是后端收到的参数全是空的。 用307/308替代302/301（推荐方案） HTTP/1.1...