如何在Sonatype Nexus中配置HSTS？能否在jetty-http.xml中添加配置？

当然可以在Sonatype Nexus里配置HSTS！而且你找对方向了——因为Nexus底层依赖Jetty作为Web服务器，所以通过Jetty的配置文件（比如你找到的jetty-http.xml，更常用的是jetty-https.xml，因为HSTS仅作用于HTTPS连接）添加HSTS配置是完全可行的，Nexus也能正常识别这些配置。

下面是具体的配置步骤和注意事项：

• 定位配置文件：Nexus的Jetty配置文件通常存放在安装目录下的etc/jetty文件夹中。如果已经配置了HTTPS，优先编辑jetty-https.xml；如果是从HTTP跳转至HTTPS，也可在jetty-http.xml中做跳转配置，但HSTS本身需要绑定在HTTPS连接器上。
• 添加HSTS配置代码：打开目标配置文件，找到<Call name="addConnector">代码块，在其中插入SecureRequestCustomizer配置来启用HSTS：

  <Call name="addCustomizer">
    <Arg>
      <New class="org.eclipse.jetty.server.SecureRequestCustomizer">
        <!-- 设置HSTS有效期，示例为1年（31536000秒），可按需调整 -->
        <Set name="stsMaxAgeSeconds">31536000</Set>
        <!-- 是否将HSTS规则应用到所有子域名，根据你的域名结构选择 -->
        <Set name="stsIncludeSubDomains">true</Set>
        <!-- 可选：是否申请加入浏览器HSTS预加载列表，需额外提交官方申请 -->
        <Set name="stsPreload">true</Set>
      </New>
    </Arg>
  </Call>
  

• 重启Nexus生效：保存配置文件后，重启Nexus服务，新的HSTS配置就会生效。

关键注意事项 #

• HSTS仅对HTTPS请求生效，必须确保Nexus已正确配置HTTPS证书和连接器，否则浏览器会忽略HSTS响应头。
• 可通过浏览器开发者工具的Network面板，查看Nexus返回的响应头中是否包含Strict-Transport-Security字段，验证配置是否成功。
• 如果Nexus存在多个HTTPS连接器实例，需要在每个连接器中都添加这段配置，才能全局启用HSTS。

内容的提问来源于stack exchange，提问作者Krishna