Express服务器HTTP重定向HTTPS的写法是否为生产环境最佳实践？

80端口启动HTTP服务全量跳转至HTTPS是业界通用的生产环境标准实践，思路完全正确，但你当前的实现存在几个容易踩坑的问题，修复后完全可以满足生产部署要求。

• 重定向逻辑存在漏洞：触发res.redirect后没有终止请求处理流程，仍调用了next()，很容易触发「响应已发送后仍尝试修改响应头」的报错，严重时会导致进程异常退出。
• 重定向状态码使用不当：默认的302是临时重定向，生产环境应该使用301永久重定向，既可以减少无意义的跳转开销，也能帮助搜索引擎正确收录HTTPS地址。
• 业务逻辑暴露风险：你把同一个Express实例同时挂载到HTTP和HTTPS服务上，一旦重定向中间件因为路径匹配、逻辑异常等原因未触发，业务接口会直接通过HTTP明文传输，存在数据泄露风险。
• 存在Host头注入隐患：直接拼接客户端传入的req.headers.host生成跳转地址，攻击者可以伪造Host头将用户诱导至钓鱼站点。
• 缺少HTTPS强制防护：没有配置HSTS响应头，无法抵御SSL降级类的中间人攻击。

不要让HTTP端口承载任何业务逻辑，单独启动一个极简的HTTP服务专门做跳转，所有业务逻辑全量放在HTTPS服务上，参考实现如下：

const express = require('express');
const https = require('https');
const fs = require('fs');

// --------------- HTTPS业务服务 ---------------
const app = express();
// 所有业务中间件、路由仅挂载在该实例上
// app.use(express.json())
// app.use('/api', businessRouter)

// 配置HSTS头，告知浏览器1年内访问该域名必须强制使用HTTPS
app.use((req, res, next) => {
  res.setHeader('Strict-Transport-Security', 'max-age=31536000; includeSubDomains');
  next();
});

https.createServer({
  key: fs.readFileSync(certKeySSLPath),
  cert: fs.readFileSync(certSSLPath),
  // 存在中间证书时必须添加ca配置，否则部分老设备、旧系统会提示证书不可信
  // ca: fs.readFileSync(intermediateCertPath)
}, app).listen(serverPORTHTTPS, () => {
  console.log(`HTTPS service running on port ${serverPORTHTTPS}`);
});

// --------------- HTTP跳转服务 ---------------
const httpApp = express();
httpApp.all('*', (req, res) => {
  // 生产环境建议硬编码自身业务域名，彻底规避Host头注入风险
  // const host = 'api.your-domain.com'
  const host = req.headers.host;
  // 使用301永久重定向，跳转后直接返回终止流程
  return res.redirect(301, `https://${host}${req.url}`);
});

httpApp.listen(serverPORTHTTP, () => {
  console.log(`HTTP redirect service running on port ${serverPORTHTTP}`);
});

• 如果服务前端挂载了Nginx、负载均衡、CDN等代理层，通常代理层会直接完成HTTP到HTTPS的跳转，不需要在Node层重复实现。此时如果需要在Node层判断请求协议，要先开启app.set('trust proxy', true)，信任代理传递的X-Forwarded-Proto头，否则req.secure判断会失效。
• HSTS的max-age参数建议先设置较小值（比如86400，即1天）上线观察，确认HTTPS配置无问题后再逐步调大到31536000（1年），避免证书配置错误导致用户长时间无法访问。
• 建议配置证书自动续期脚本，定期检查证书有效期，避免证书过期导致服务不可用。

内容的提问来源于stack exchange，提问作者XxTavo16xX