HSTS（Strict-Transport-Security）适用客户端范围及常见实践疑问

核心问题：HSTS是否仅被浏览器使用？ #

HSTS最初是为浏览器设计的安全标准，但并非只有浏览器会遵循——部分具备持久化缓存能力的非浏览器HTTP客户端也可能支持，但支持程度非常不一致，不能依赖非浏览器客户端遵循HSTS。

常见实践 #

1. GUI网页（浏览器访问场景）：必须启用HSTS，强制浏览器仅通过HTTPS访问，这是Web安全的标准做法。
2. API服务（多客户端访问场景）：
   • 对于同一受保护网络内的客户端，直接通过配置约定让客户端使用HTTP访问即可，无需依赖HSTS。
   • 对于外部客户端，要求其显式使用HTTPS，不要指望HSTS来强制非浏览器客户端切换协议——因为多数非浏览器客户端不支持HSTS。

常用客户端框架的HSTS支持情况 #

遵循HSTS的客户端 #

• 所有主流浏览器（Chrome、Firefox、Safari、Edge等）：这是HSTS的核心目标受众，会严格持久化缓存HSTS规则并强制执行。
• curl：需手动启用HSTS缓存（比如使用--hsts参数指定缓存文件），启用后会遵循HSTS规则。
• Go语言net/http客户端：当配置了持久化HSTS缓存时，会支持HSTS。

忽略HSTS的客户端 #

• Python requests库：默认不处理HSTS，也不提供内置的HSTS缓存机制。
• Java HttpURLConnection、Apache HttpClient：默认忽略HSTS，需开发者手动实现缓存和规则校验逻辑才会支持。
• 原生移动应用基础HTTP客户端（Android HttpURLConnection、iOS NSURLSession）：默认不处理HSTS，无内置缓存逻辑。
• 所有无状态HTTP客户端：正如你所说，HSTS需要客户端持久化缓存策略，无状态客户端没有存储能力，根本无法记住HSTS规则，自然会忽略。

预期情况 #

HSTS的设计初衷是解决浏览器的"首次访问不安全"问题，对于非浏览器客户端，业界并没有统一的支持标准，所以不要将HSTS作为控制API访问协议的手段。API的协议选择应该通过客户端配置、服务端文档约定来明确，而非依赖HSTS。

内容的提问来源于stack exchange，提问作者McLayn