ASP.NET Core 2.2已配置HSTS但未生效问题求助

我来帮你排查这个问题——首先最常见的原因是开发环境下HSTS默认被禁用，.NET Core框架为了方便开发调试，会自动跳过HSTS的启用逻辑：当IHostingEnvironment.IsDevelopment()为true时，app.UseHsts()实际上不会向响应头添加有效的HSTS规则，反而会返回disabled标识。

验证当前运行环境 #

你可以先确认应用是否处于开发环境，在Configure方法里加一行调试输出：

public void Configure(IApplicationBuilder app, IHostingEnvironment env, IServiceProvider services) {
    // 打印当前环境名称，方便排查
    Console.WriteLine($"当前运行环境: {env.EnvironmentName}");
    ...
    app.UseHsts();
    app.UseHttpsRedirection();
    ...
}

如果输出是Development，那就是这个原因导致的HSTS被标记为禁用。

具体解决方法 #

方法1：切换到生产环境运行 #

这是最规范的做法，发布应用到生产环境，或者临时指定环境变量为Production启动：

• 命令行启动：Windows下执行set ASPNETCORE_ENVIRONMENT=Production，Linux/Mac下执行export ASPNETCORE_ENVIRONMENT=Production，再启动应用。
• Visual Studio调试：右键项目→属性→调试→环境变量，添加ASPNETCORE_ENVIRONMENT，值设为Production，再启动调试。

方法2：强制在开发环境启用HSTS（不推荐） #

如果一定要在开发环境测试HSTS，可以手动覆盖默认的环境检查逻辑，修改UseHsts()的调用方式：

// 忽略环境判断，强制启用HSTS
app.UseWhen(context => true, appBuilder => {
    appBuilder.UseHsts();
});

⚠️ 注意：开发环境启用HSTS可能导致浏览器强制锁定HTTPS，若本地HTTPS证书有问题或需要临时切换回HTTP，会增加调试成本，不建议长期这么做。

额外优化建议 #

1. 简化MaxAge的写法：你当前计算1年有效期的方式currentDate.AddYears(1) - currentDate虽然可行，但更简洁且不易出错的写法是直接用TimeSpan.FromDays(365)：

services.AddHsts(options => {
    options.MaxAge = TimeSpan.FromDays(365); // 直接设置1年有效期
    options.IncludeSubDomains = true;
});

2. 确认中间件顺序：确保app.UseHsts()和app.UseHttpsRedirection()在app.UseMvc()之前调用，中间件的执行顺序直接影响功能生效与否。

按照上面的步骤排查调整，应该就能解决HSTS显示disabled的问题了。

内容的提问来源于stack exchange，提问作者WarrenG