AWS子域不支持HSTS，Semrush告警，修改.htaccess后无效如何解决？

配置存在的问题 #

• 配置文件名错误：Apache默认仅读取站点目录下名为.htaccess的分布式配置文件，如果你将配置写在.htdocs文件中，所有规则都不会生效（.htdocs通常是站点根目录的默认名称，不是配置文件）。
• 重写规则顺序错误：你将HTTPS跳转规则放在了路径重写规则之后，路径重写规则使用了[L]标记，会终止当前轮次的重写逻辑，所有非静态文件/目录的请求都会直接匹配到index.php的重写规则，后面的HTTPS跳转判断逻辑完全不会执行。
• HTTP跳转规则匹配范围不全：现有跳转规则的RewriteCond %{SERVER_NAME} ^example\.com$只匹配根域名的HTTP请求，直接访问http://www.example.com的请求不会触发跳转，也不会返回对应的HTTPS响应头。
• 无效的HSTS头配置：mod_rewrite块中Header add Strict-Transport-Security "max-age=300"是在HTTP跳转的响应中返回的，而浏览器仅认可HTTPS响应中携带的HSTS头，该配置完全无效，反而可能导致多HSTS头冲突。
• 重复冗余配置：末尾重复新增了和原有逻辑完全一致的mod_headers配置段，没有实际作用，极端情况下可能引发头配置覆盖冲突。
• 可能存在的变量识别问题：部分Apache环境未默认开启REQUEST_SCHEME变量，如果站点使用了反向代理/CDN，也可能存在X-Forwarded-Proto头未被正确传递的情况，导致HSTS配置的判断条件不触发。

修复方案 #

• 先确认配置文件名为.htaccess，存放在站点根目录下，Apache配置中已开启AllowOverride All允许读取分布式配置。
• 调整重写规则顺序，将HTTPS跳转逻辑放到路径重写逻辑之前，修正后的完整配置参考如下：

Options -Indexes

<IfModule mod_rewrite.c>
    Options +FollowSymLinks
    RewriteEngine On
    # 先处理HTTP跳转HTTPS
    RewriteCond %{HTTPS} !=on
    RewriteCond %{HTTP_USER_AGENT} ^(.+)$
    # 匹配根域名和www子域
    RewriteCond %{SERVER_NAME} ^(example\.com|www\.example\.com)$
    # 统一跳转到www子域的HTTPS地址
    RewriteRule .* https://www.example.com%{REQUEST_URI} [R=301,L]
    
    # 再处理路径重写
    RewriteCond %{REQUEST_FILENAME} !-f
    RewriteCond %{REQUEST_FILENAME} !-d
    RewriteRule ^(.*)$ index.php/$1 [L]
</IfModule>

<IfModule mod_headers.c>
    <If "%{REQUEST_SCHEME} == 'https' || %{HTTP:X-Forwarded-Proto} == 'https'">
        # 按需决定是否添加 includeSubDomains 指令覆盖所有子域
        Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
    </If>
</IfModule>

• 修复完成后可执行curl -I https://www.example.com验证响应头中是否存在正确的Strict-Transport-Security字段，确认生效后再重新用Semrush扫描。

内容的提问来源于stack exchange，提问作者user979331