如何为AWS ELB的5XX/4XX页面添加HSTS安全头部？

问题描述 #

我的应用部署在EC2实例上，前端由Application ELB提供负载均衡，所有安全HTTP头部已在服务器层面配置。非工作时段我会停止EC2实例，工作时段再启动。安全团队在非工作时段扫描应用时，ELB因EC2停止返回503响应，且未设置HSTS头部。现要求为所有5XX和4XX页面添加HSTS头部，需在ELB层面处理，请问能否在ELB上配置自定义头部？或有其他服务可实现该需求？

解决方案 #

ELB本身的配置限制 #

Application Load Balancer（ALB）无法直接为自身生成的错误响应（如EC2停止时返回的503）添加自定义HTTP头部。ALB仅支持为转发到后端实例的请求/响应添加头部，对于它主动生成的错误页，常规配置无法注入HSTS这类头部。

可行的替代方案 #

• CloudFront + 自定义错误页面
  将CloudFront作为ALB的前端CDN，在CloudFront控制台配置自定义错误响应规则：针对4XX、5XX状态码，指定包含HSTS头部的自定义错误页面。这样无论后端ALB返回什么错误，CloudFront都会返回带HSTS头部的页面，满足安全扫描要求，同时工作时段可正常转发请求到ALB，不影响业务。

• Lambda@Edge 修改响应头部
  在CloudFront的Origin Response或Viewer Response阶段触发Lambda@Edge函数，函数逻辑中检测响应状态码，若为4XX或5XX，自动添加Strict-Transport-Security头部。这种方式无需自定义错误页面，直接修改响应头，灵活性更强。

• ALB固定响应规则
  创建ALB监听规则，当检测到后端无可用实例（返回503）时，触发固定响应动作，自定义响应内容并添加HSTS头部。但该方案仅能覆盖特定错误场景，若要覆盖所有4XX/5XX，需为每个状态码单独配置规则，扩展性较差。

内容的提问来源于stack exchange，提问作者APARNA J