这个HSTS HTTP响应头配置错误吗？

Question

最近，我在渗透测试中发现，应用程序返回了HSTS，但格式如下：

"Strict-TransportSecurity"

而不是：

"Strict-Transport-Security"

这种格式是否意味着头(HSTS)没有被客户端验证，并且无法完成设计的任务？正如我所理解的，HTTP头是不区分大小写的，但我不确定这是否是一个有效的头名称。

任何建议都是非常感谢的。谢谢

Answer 1

这是一个未定义的标题.

因此，浏览器对它的反应取决于浏览器。它们仍然正确地解释标题是可能的，但非常不可能的。不过，我不赌。

相反，将头从Strict-TransportSecurity更改为Strict-Transport-Security。