开启 HSTS 后，可以减少第一次访问被劫持的风险，ESA 将响应 HSTS 头部：Strict-Transport-Security。

你的理解基本正确，但有一点需要补充：HSTS 本身并不能完全消除“第一次访问被劫持的风险”。它主要保护的是第一次成功建立 HTTPS 连接之后的所有后续访问。

第一次访问的漏洞依然存在

在客户端第一次访问你的站点、且尚未收到 HSTS 头部之前，如果它通过 http:// 发起连接，这次请求仍然是明文的。攻击者可以在这一步拦截请求，实施 SSL 剥离攻击。

ESA 文档也确认了这一点：客户端首次访问时 HSTS 策略尚未同步，如果使用 HTTP，ESA 节点会强制重定向到 HTTPS，但这第一次重定向过程本身仍处于风险窗口内。

HSTS 实际封堵的是什么

一旦浏览器成功通过 HTTPS 收到过一次 Strict-Transport-Security 头部，它就会在本地记住规则：在 max-age 指定的时间内，对该域名的所有请求在发出前就自动改用 HTTPS。攻击者再也无法在中间把连接降级为明文，因为浏览器根本不会再发出 HTTP 请求。

所以准确的说法是：HSTS 消除了“后续访问被劫持的风险”，第一次访问的窗口需要通过其他手段弥补。

弥补第一次访问窗口的方法

要覆盖第一次访问，需要申请加入浏览器的 HSTS Preload 列表。域名被预先内置到浏览器中后，浏览器从第一次访问起就直接强制 HTTPS，无需等待服务器下发头部。

Preload 的申请条件很严格：max-age 至少一年（31536000 秒），必须包含 includeSubDomains 和 preload 指令，且所有子域名都必须支持 HTTPS。一旦加入，移除可能需要数月时间，所以提交前需要确保全站子域名都已就绪。