HTTP严格传输安全性对IP地址不受尊重

Question

我用nginx为IP地址设置了一个证书，并启用了http严格传输安全性：

add_header  Strict-Transport-Security "max-age=31536000; includeSubdomains;";

指令在标头中。

HTTP/1.1 200 OK
Server: nginx
Date: Wed, 17 Sep 2014 22:46:54 GMT
Content-Type: text/html; charset=utf-8
Transfer-Encoding: chunked
Connection: keep-alive
Vary: Accept-Encoding
Access-Control-Allow-Origin: *
X-Frame-Options: SAMEORIGIN
X-Content-Type-Options: nosniff
X-XSS-Protection: 1; mode=block
Strict-Transport-Security: max-age=31536000; includeSubdomains;
X-UA-Compatible: IE=Edge,chrome=1

..。但是浏览器并不尊重它(相反，它们是为FQDN所做的)。

Answer 1

如果我对你的理解正确，你会指示你的浏览器到IP地址(https://xx.xx.xx.xx/)而不是域名，并期望它遵守HSTS规则？

但是RFC 6797附录A明确排除IP地址：

只有通过域名才能识别HSTS主机--排除所有形式的显式IP地址标识。