HTTP Strict Transport Security（HSTS）是一项安全策略，可确保浏览器始终使用HTTPS与网站进行通信，以减少HTTP流量劫持和中间人攻击的风险。
HSTS的工作原理如下：
-
当浏览器第一次访问一个网站时，网站可以使用HTTP头信息向浏览器返回HSTS的指令。
-
浏览器向网站请求时将会使用HTTPS，即使用户通过手动输入HTTP的方式访问网站。
-
浏览器会缓存HSTS指令，因此在指定的时间段内（max-age）访问该网站时，浏览器将始终使用HTTPS，即使用户手动输入HTTP的方式访问网站也是如此。
下面是两个使用HSTS的示例：
- Google.com
Google.com通过以下HTTP头指定了HSTS指令：
Strict-Transport-Security: max-age=31536000
这意味着在访问Google.com后的一年内，浏览器将始终使用HTTPS与该网站进行通信，即使用户手动输入HTTP的方式也是如此。
- GitHub.com
GitHub.com通过以下HTTP头指定了更加严格的HSTS指令：
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload
此指令将强制所有子域名使用HTTPS，并提交到浏览器内置的HSTS预加载列表中。这使得浏览器在第一次打开网站时就会强制使用HTTPS，即使用户手动输入HTTP的方式访问网站也是如此。
需要注意的是，启用HSTS后，如果服务器未正确配置，可能会导致网站不可访问。因此，在启用HSTS之前，请确保服务器已正确配置HTTPS支持，并在测试环境下进行测试。