火狐浏览器中如何利用开发者工具绕过Strict-Transport-Security强制跳转限制？

火狐浏览器访问HTTP网址时，突然被自动跳转到HTTPS，地址栏还冒出“您的连接不是私密连接”或者直接白屏——这事其实不罕见。根源在于目标域名通过Strict-Transport-Security响应头向浏览器注册了强制HTTPS策略，这条策略被写入本地HSTS预加载列表后，普通的刷新操作根本清不掉。想要恢复HTTP访问，得手动清理缓存。

清除当前域名的HSTS缓存记录

第一步：在火狐地址栏输入 about:config，点击“我接受风险并继续”。

第二步：在搜索框输入 network.http.speculative-parallel-limit——这步只是为了确认配置环境已加载，不用改任何值。

第三步：先关闭所有包含目标域名的标签页。然后在新空白标签中输入 chrome://pippki/content/hsst.html。

第四步：页面顶部会显示“HSTS状态管理器”。在下方输入框中填入你要绕过的域名（比如 example.com），点击“删除”按钮。如果提示“未找到匹配项”，说明该域名还没被HSTS策略持久化，跳转行为其实是服务器端的Location重定向，跟浏览器HSTS机制无关。

临时禁用HSTS策略生效逻辑

方法一：通过about:config关闭HSTS强制执行开关

在地址栏输入 about:config，搜索 security.ssl.enable_ocsp_stapling，双击设为 false。这个操作不会影响证书验证，但会削弱HSTS策略的实时校验强度，算是一种临时“绕行”。

方法二：注入覆盖式HSTS策略清除指令

打开目标HTTP页面，按 Ctrl+Shift+I 打开开发者工具，切换到“控制台”面板。输入以下命令后回车：

document.location = 'http://' + document.domain + document.location.pathname + document.location.search;

这行代码会强行把当前HTTPS页面重定向回HTTP协议，但只对当前会话有效。如果页面里还藏着 meta refresh 或 JS location.replace 调用，需要同步执行下一步。

永久移除HSTS预加载列表中的域名

第一步：彻底退出火狐浏览器——注意右下角任务栏里的残留进程也要一并关掉。

第二步：打开文件资源管理器，定位到火狐的配置目录：

• Windows：%APPDATA%\Mozilla\Firefox\Profiles\*.default-release
• macOS：~/Library/Application Support/Firefox/Profiles/*.default-release/
• Linux：~/.mozilla/firefox/*.default-release/

第三步：找到并用文本编辑器打开 SiteSecurityServiceState.txt 文件。

第四步：查找包含目标域名的整行内容（格式类似 example.com 1 0 1672531200000 1672531200000），删除该整行，然后保存文件。

第五步：重新启动火狐浏览器。这时再访问 http://example.com，就不会被强制跳转到HTTPS了。