Nagłówek "Strict-Transport-Security" dwukrotnie w odpowiedzi na aplikację Swisscom CloudFoundry

Question

Podczas korzystania z rozwiązania Swisscom CloudFoundry z aplikacją Spring Boot, dwa nagłówki Strict-Transport-Security są dodawane do odpowiedzi HTTPS. Przyjrzałem się temu problemowi i odkryłem, że kilka rozwiązań nagłówkowych zostało dodanych przez rozwiązanie CloudFoundry. Spring Boot domyślnie dodaje już nagłówek Strict-Transport-Security (na bezpiecznych stronach), co prowadzi do dwóch różnych nagłówków HSTS.

Chciałbym skonfigurować nagłówki mojej aplikacji w mojej aplikacji. Czy istnieje sposób wyłączenia automatycznego dodawania nagłówka rozwiązania Swisscom CloudFoundry?

Jeśli nie, czy istnieje sposób, aby poinformować chmurę Swisscom o zastąpieniu istniejących nagłówków Strict-Transport-Security zamiast dołączania jej do listy nagłówków?

Odpowiedź HTTP z aplikacji Wiosna Boot, wdrożył Swisscom Chmura, następnie zawiera następujące dwa nagłówki:

Strict-Transport-Security:max-age=31536000 ; includeSubDomains 
Strict-Transport-Security:max-age=15768000; includeSubDomains 

Answer 1

Dziękujemy za zgłoszenie. Obecnie wstawiamy (nie zastępujemy) nagłówki HSTS, ponieważ nie byliśmy świadomi, że niektóre frameworki dodają je domyślnie. Rozważymy nadpisanie nagłówka zawsze, ponieważ zduplikowane nagłówki prawdopodobnie nie mają sensu, a ustawienie domyślne jest odpowiednie dla większości przypadków użycia.

Na razie: czy można wyłączyć ustawianie HSTS w Spring Boot? Według Spring boot docs, powinieneś być w stanie go wyłączyć z tego fragmentu:

@EnableWebSecurity 
public class WebSecurityConfig extends 
     WebSecurityConfigurerAdapter { 

    @Override 
    protected void configure(HttpSecurity http) throws Exception { 
     http 
      // ... 
      .headers() 
       .frameOptions().sameOrigin() 
       .httpStrictTransportSecurity().disable(); 
    } 
} 

Aktualizacji: Będziemy zmienić to zachowanie wkrótce: The Appcloud ustawi tylko nagłówek, jeśli aplikacja nie określa go już . Dlatego pozostawiamy wybór programistom, jeśli i jak chce on wdrożyć HSTS, ale zapewni to ustawienie domyślne.

Aktualizacja 2: Nowe zachowanie zostało wprowadzone.