HSTS：我应该强制用户在负载均衡或Web服务器上使用HTTPS吗？

Question

我的环境：

1。）1负载均衡服务器（nginx）

2。）2个Web服务器（在node.js上运行的express.js）

3.）1个数据库服务器

您好，我正在尝试强制我的用户使用https。我查看了许多关于如何在express.js中实现https的教程。

但是，当我查看许多教程时，我找到了两种方法来解决如何将用户http重定向到https。

1. 将用户重定向到nginx配置上的https（在负载均衡服务器上）
2. 将用户重定向到express.js上的https（在网络服务器上）

我的问题是：

• 这是为我的网络应用实施HSTS的更好方式（在负载余额或网络服务器上）

• 另外请尽量提供有关每个选项的优缺点的信息

非常感谢：）

Answer 1

您可以通过在负载均衡器上强制执行https来减少流量，如果您只提供需要加密的内容，则最好将http流量限制为来自外部源的Web服务器。

否则，http请求将通过负载均衡器，被定向到Web服务器1，在那里它将使用302重定向进行响应以使用https url。这导致用户必须提出2个请求才能访问您的网站。