HPKP有什么作用？

HPKP的全称是HTTP Public Key Pinning，是一种通过Web让浏览器更加安全的技术，它的作用是为了防止HTTPS证书被恶意劫持或篡改。HPKP是由 RFC 7469规范化的，目的是防止恶意用户伪造SSL证书来进行中间人攻击。

在实现HPKP前，网站管理员需要确定一个密钥和一个周期（max-age）来指定证书的有效期，并将这些信息发送给访问者的浏览器。当浏览器第一次访问该网站时，它将接受该网站的证书并缓存该证书中包含的密钥。此后，如果浏览器再次访问该网站，它将比较此证书中的密钥与先前缓存的密钥是否相同。 如果它们不相同，浏览器将警告用户此网站存在风险，直到用户决定继续访问。

HPKP主要有以下几个作用：

1. 防止中间人攻击：通过HPKP，网站管理员可以在请求中加入证书公钥的指纹，以确保客户端获得的证书是正确的，并且不会因为证书被恶意替换而受到攻击。
   示例代码：

Public-Key-Pins: pin-sha256="XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX="

其中，pin-sha256为证书公钥的sha256指纹值。

1. 在网站发生证书问题时，及时发现并修复：当发现与HPKP密钥不匹配的证书时，必须进行修复，例如及时更换证书等。
   示例代码：

Public-Key-Pins-Report-Only: pin-sha256="XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX="; max-age=300; includeSubDomains; report-uri="https://example.com/HPKPReport"

可以发现，此示例中采用了Public-Key-Pins-Report-Only，该模式仅提供报告功能，不进行任何操作，可以帮助网站管理员及时获取异常信息。

综上，HPKP可以提高网站的安全性，增加攻击者需执行的步骤，从而减少攻击成功的可能性。但是，HPKP也有一定的局限性，如果密钥或证书发生错误或更改，可能会导致客户端无法访问网站。因此，网站管理员需要谨慎处理。