有没有一劳永逸关闭 HSTS 的方法?

为啥不都搞成 https 省的在本地折腾

外网你网站一开始别开 HSTS 就完事了，这东西是真的蛋疼

全部通过 https 访问

如果你有权限操作服务器，内网也加个证书；

如果你没权限，你可以本机 ng 反代，搞个自签证书。

内网也全用 https

应该是你内网的网站 http header 配置了 hsts

浏览器是可以不触发 hsts 的。你想为啥 localhost 你不会自动跳转 https

供参考， 我用的是 surge mimt ， 把一些提示 https 不安全的域名都加进去了

@duanjiong 不好意思，看错题目了

在内网使用了别人注册的公网域名作为测试域名也会有这种情况

把域名换成自己持有的就行

不在 https://hstspreload.org/ 这里的很容易吧，你们的网址加入这个了？

@bjfane #9 查了.确实不在里面.可能和 5 楼所说,header 配置了吧...看来得找内网的运维.

办法有很多种：
1. 找一下 nginx 等网关，去掉 HSTS 头：

add_header Strict-Transport-Security 'max-age=31536000; includeSubDomains' always;

检验一下：

curl -s -D- 'https://yourserver' | grep -i strict-transport-security

2. 或使用 chrome 扩展修改响应的 header ，将 HSTS 头去掉

3. 或本地开发时使用代理，将 http 请求转发到 https ，为此我写了一个代理工具（会自动生成自签名证书）
https://github.com/ahuigo/selfhttps

4. 或让本地服务也改 https, 让它内置 https 证书（有一些框架提供）

@a132811 #11 感谢大佬.第二种似乎最简单,我找找看看.