HSTS头在错误响应中生效的关键是使用add_header ... always；因Nginx默认仅对2xx/3xx响应添加自定义头，缺always会导致4xx/5xx响应丢失HSTS，使浏览器无法建立HTTPS记忆。

要让 HSTS 头在负载均衡返回错误响应（如 404、500）时依然生效，关键不是“透传”，而是确保 add_header ... always 在 Nginx 配置中被正确使用——因为默认情况下，Nginx 只对 2xx 和 3xx 响应添加自定义头，4xx/5xx 响应会被跳过。

为什么 error 响应里 HSTS 会丢失？

Nginx 的 add_header 指令默认只作用于成功响应（HTTP 状态码 200–399）。当后端服务异常、超时或返回 502/503/504 等错误时，Nginx 作为反向代理生成的错误页不触发该指令，HSTS 头自然不会出现。浏览器收不到这个头，就无法建立强制 HTTPS 的记忆，安全链条就此中断。

必须加 always 参数

在 server 或 location 块中配置 HSTS 时，必须显式加上 always，否则所有非 2xx/3xx 响应都不带 HSTS：

• ✅ 正确写法：add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
• ❌ 错误写法：add_header Strict-Transport-Security "max-age=31536000;"（缺 always，500 响应里就没有 HSTS）

确保 HSTS 出现在所有可能出口位置

如果用了多层代理（例如：用户 → CLB/Tengine → Nginx Ingress → 后端），HSTS 必须在最外层能控制响应头的位置设置，且每个环节都要加 always：

• 若用 Tengine/Nginx 做 SSL 终止，在 server { listen 443 ssl; ... } 块顶部直接加 add_header ... always
• 若用 HAProxy 做 TLS 卸载，它本身不支持 add_header always；需在其 http-response set-header 中启用 on-error 选项，或改由后端 Nginx 统一注入
• 若用 Ingress-nginx，需在 nginx.ingress.kubernetes.io/configuration-snippet 注解中写入含 always 的指令（注意版本兼容性）

验证是否真正生效

别只测首页 200，务必主动触发错误再检查响应头：

• 访问一个不存在路径（如 /nonexistent），看 Network 面板 Response Headers 是否含 Strict-Transport-Security
• 模拟后端宕机：临时关闭 upstream，触发 502，确认响应中仍有 HSTS 头
• 用 curl -I https://yoursite.com/nonexistent 直接查看 header 输出