A+级HTTPS重定向需构建“强制+防绕过+全链路可信”三层架构：禁用HTTP监听器、启用HSTS预加载、仅允TLS1.2/1.3及前向保密套件、使用公开CA完整证书链并开启OCSP Stapling。
要实现防御降级攻击的 A+ 级 HTTPS 重定向，核心不是堆砌配置项，而是建立“强制 + 防绕过 + 全链路可信”的三层架构。单纯配个 301 跳转远远不够，关键在于阻断所有明文通道、杜绝协议协商妥协、确保证书与加密套件本身不被降级利用。
关闭所有 HTTP 明文入口
真正的防御起点是让 HTTP 流量根本无法抵达网关处理层。这比在网关内部做跳转更彻底：
- 在负载均衡器或云厂商网关（如 Azure App Gateway、Rainbond 网关）上，直接删除或禁用 HTTP 监听器（端口 80），只保留 HTTPS 监听器（端口 443）
- 若必须保留 HTTP 端口用于健康检查等运维用途，需严格限制源 IP（如仅允许内网探针），并禁止其转发用户请求
- 避免使用“HTTP 监听器 → 301 重定向到 HTTPS”这种常见但有漏洞的做法——攻击者可拦截并篡改重定向响应，或构造 HEAD/TRACE 请求绕过跳转逻辑
启用 HSTS 并预加载（Strict-Transport-Security）
HSTS 是对抗 SSL 剥离和协议降级的核心机制，它让浏览器强制走 HTTPS，连首次请求都不给 HTTP 机会：
- 响应头中添加 Strict-Transport-Security: max-age=31536000; includeSubDomains; preload
- max-age 至少设为 1 年（31536000 秒），避免短期失效导致窗口期
- includeSubDomains 必须开启，防止子域名成为降级入口
- 提交域名至 hstspreload.org 审核并加入主流浏览器预加载列表——这是 A+ 级别的硬性门槛
TLS 层面杜绝协商降级可能
即使流量走到 HTTPS，老旧 TLS 版本和弱密码套件仍可能被利用实施降级攻击（如 POODLE、FREAK）：
- 禁用 TLS 1.0 和 TLS 1.1，仅允许 TLS 1.2 与 TLS 1.3（Rainbond 网关、Azure App Gateway、Nginx 均支持精细控制）
- 禁用所有非前向保密（non-PFS）套件，例如 RC4、3DES、CBC 模式下的 SHA1 套件
- 优先启用 TLS 1.3 原生支持的 AEAD 加密套件（如 TLS_AES_128_GCM_SHA256），它们天然免疫多数降级手法
- 在网关配置中显式指定 cipher suites，并通过 SSL Labs 测试 验证是否真正生效
证书与信任链不可绕过
攻击者常伪造自签名证书或利用中间 CA 信任链缺陷实施中间人降级：
- 使用由公开信任 CA（如 Let’s Encrypt、DigiCert）签发的证书，避免私有 CA 或自签名
- 确保证书链完整上传（含 intermediate CA），避免客户端因缺失中间证书而触发警告或回退
- 启用 OCSP Stapling，让网关主动提供证书吊销状态，减少客户端直连 OCSP 服务器时被干扰的风险
- 对关键服务（如登录、支付）可叠加证书绑定（Certificate Pinning），但需谨慎管理更新策略
