xampp默认不启用permissions-policy，apache 2.4需在每个中用header always set手动配置，漏配任一端口将导致该站点无策略保护。
XAMPP默认不启用Feature-Policy（现已被Permissions-Policy取代），且Apache 2.4.x版本不原生支持该响应头——必须手动添加，否则浏览器会忽略。多端口配置本身不影响策略头注入，但每个<virtualhost></virtualhost>需单独配置，漏配会导致部分端口站点无策略保护。
Apache 2.4不支持Feature-Policy指令，改用Header set
Feature-Policy早在2021年被Chrome弃用，W3C标准已统一为Permissions-Policy。Apache没有内置FeaturePolicy指令，直接写会报错：Invalid command 'Feature-Policy'。必须用mod_headers模块的Header set方式注入：
- 确认
httpd.conf中已启用：LoadModule headers_module modules/mod_headers.so（默认通常已开启） - 不能在
httpd.conf全局写Header set Permissions-Policy，否则会覆盖或冲突；必须在每个<virtualhost></virtualhost>块内添加 - 值必须是合法语法：逗号分隔、空格后跟括号，例如
"geolocation=(), camera=(), microphone=()"，末尾不能有多余空格或换行
多端口下Permissions-Policy必须按VirtualHost逐个配置
监听多个端口（如8080、8081）时，Apache把每个端口视为独立虚拟主机。如果你只在*:80块里加了Header set，那么http://localhost:8080/将完全不带该头——浏览器开发者工具的Network面板里看不到Permissions-Policy字段。
XAMPP 8.0.30 是一款免费、开源的跨平台 Web 服务器集成包，专为快速搭建本地 PHP 开发环境而设计。该版本核心组件包括：Apache 2.4.56、MySQL 8.0.33、PHP 8.0.30、phpMyAdmin 5.2.1 等。它支持 Windows、Linux 和 macOS 系统，可让开发者在个人电脑上轻松模拟服务器环境，无需复杂配置即可运行 WordPress、Thin
正确做法是在每个<virtualhost></virtualhost>内部添加：
<virtualhost>
DocumentRoot "C:/xampp/htdocs/project-a"
ServerName localhost:8080
<directory>
Require all granted
</directory>
Header always set Permissions-Policy "geolocation=(), camera=(), microphone=()"
</virtualhost><virtualhost>
DocumentRoot "C:/xampp/htdocs/project-b"
ServerName localhost:8081
<directory>
Require all granted
</directory>
Header always set Permissions-Policy "geolocation=(), camera=(), microphone=()"
</virtualhost>
-
Header always set确保即使返回304或重定向也带上头；用Header set可能在某些响应中丢失 - 路径中的反斜杠
在Windows下要写成正斜杠/或双反斜杠\，否则Apache启动失败 - 修改后必须运行
httpd -t验证语法，再重启Apache，否则策略不会生效
常见错误：Header set被AllowOverride none屏蔽
如果项目目录启用了.htaccess覆盖（即AllowOverride All），而你又把Header set写在.htaccess里，那它只对当前目录生效，且需确保mod_headers允许在.htaccess中使用（默认不允许）。更稳妥的方式是坚持写在httpd-vhosts.conf的<virtualhost></virtualhost>块里。
- 检查
httpd.conf中<directory></directory>段是否含AllowOverride None——这会直接禁用.htaccess里的Header指令 - 若误用
Header set而非Header always set，静态资源（如CSS/JS）可能不携带该头，导致策略不完整 - 值中写错拼写（如
geolocaton）或括号不匹配（如geolocation=(self)没加引号），浏览器会静默忽略整条策略
真正麻烦的不是加几行配置，而是每个端口、每个虚拟主机都得单独核对Header always set Permissions-Policy是否存在、语法是否闭合、路径是否可读——少一个就等于那个端口站点裸奔。别指望“配一次，全端口生效”。
