HTTPS降级与首次访问劫持有其固定窗口期，HSTS让浏览器记住这个站点只走加密，预加载列表则把首次访问也保护上。本文讲这套机制的真实覆盖范围、它管不到的事，以及访问加密站点的最低核验纪律。