强制HTTPS (HSTS) 导致 CORS preflight 请求失败的问题
最近遇到个问题，跨域 PUT 请求的时候，后端已经设置好 Access-Control-Allow-Origin 头信息了，然而浏览器还是报：
Access to XMLHttpRequest at 'http://abc.example.com/api/v3/xxx/1' from origin 'http://example.com' has been blocked by CORS policy: Response to preflight request doesn't pass access control check: Redirect is not allowed for a preflight request.
根据MDN的说法，当进行一个简单请求（Simple Requests）的时候，浏览器是不需要发出预检请求（Preflight Request）的。但是如果不是简单请求，则浏览器会先通过 OPTIONS 方法发出一个预检请求，以判断该地址是否支持CORS.
关于什么是简单请求可以参考 HTTP访问控制（CORS） - HTTP | MDN 中的定义，我们上面使用的PUT请求方法便不是简单请求，那么浏览器就要先发出一个 OPTIONS 请求到服务器。然而，我的服务器已经设置好了应对预检请求的响应，怎么还是不行呢？
仔细一看，关键还在于最后一句：Redirect is not allowed for a preflight request. (预检请求不允许重定向重定向）。这时我更加纳闷，我这个地址并没有重定向呀？于是我打开开发者工具，在Network页中看到，服务器返回的Status Code 是 307 Internal Redirect ，返回的header是：
Access-Control-Allow-Credentials: true
Access-Control-Allow-Origin: http://example.com
Location: https://abc.example.com/api/v3/xxx/1
Non-Authoritative-Reason: HSTS
原来，服务器端的Nginx开启了HSTS (HTTP Strict Transport Security) HTTP严格安全传输，导致服务器要求浏览器转跳到HTTPS协议的地址，这也导致了浏览器阻止了CORS请求。
那么如果还想实现跨域请求，就只能把Nginx的HSTS关闭了。
找到Nginx的对应网站的443端口的配置文件，找到类似以下的配置：
add_header Strict-Transport-Security max-age=31536000;
把它改成：
add_header Strict-Transport-Security max-age=0;
重启Nginx服务器，清除浏览器缓存（浏览器会缓存redirect请求），再次请求，服务器便不再返回307要求转跳到HTTPS协议的网站啦。
注意，要修改的是443端口（即HTTPS协议）的配置文件，因为：
The
Strict-Transport-Securityheader is ignored by the browser when your site is accessed using HTTP; this is because an attacker may intercept HTTP connections and inject the header or remove it. When your site is accessed over HTTPS with no certificate errors, the browser knows your site is HTTPS capable and will honor theStrict-Transport-Securityheader.
