Insecure Transport: Insufficient HSTS Expiration Time

應用程式會使用較短的有效期來設定 HTTP Strict Transport Security (HSTS) 標頭。這可讓攻擊者將 HTTPS 連線取代為單純 HTTP 連線，並藉著執行 HTTPS 剝離攻擊而竊取敏感資訊。

HTTPS 剝離攻擊是一種中間人攻擊，攻擊者會在所有 HTTP 流量中監視參照 HTTPS 的位置標頭和連結，並將其取代為 HTTP 版本。攻擊者會保留所有 HTTP 替代的清單，以便能夠向伺服器回傳 HTTPS 要求。所有剝離的 HTTP 連線都經由 HTTPS 以代理方式發送到伺服器。受害者與攻擊者之間的所有流量都經由 HTTP 傳送，從而洩漏使用者名稱、密碼及其他私人資訊，但伺服器仍然會從攻擊者收到預期的 HTTPS 流量，因此一切看似正常。

HTTP Strict Transport Security (HSTS) 是一種安全性標頭，用於指示瀏覽器在 HSTS 標頭指定的期間內，始終連線到經由 SSL/TLS 傳回標頭的網站。經由 HTTP 與伺服器的任何連線都會自動取代為 HTTPS 連線，即使使用者在瀏覽器 URL 列中輸入 http:// 也一樣。

範例 1：以下程式碼會將受 Spring Security 保護的應用程式設定為使用短有效期：

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        ...
        http.headers(headers ->
                headers.httpStrictTransportSecurity(hstsConfig ->
                    hstsConfig.maxAgeInSeconds(300)
                )
            );
        ...
    }