XAMPP配置Apache请求头设置 XAMPP解决安全扫描问题-php教程-PHP中文网

Apache配置Header指令被忽略，主因是XAMPP默认禁用mod_headers模块；需取消httpd.conf中LoadModule headers_module modules/mod_headers.so的注释并重启Apache，再在VirtualHost内用Header always set添加安全头。

xampp配置apache请求头设置 xampp解决安全扫描问题

Apache配置Header指令被忽略？检查mod_headers是否启用

默认XAMPP安装中mod_headers是禁用的，即使你在httpd.conf或虚拟主机里写了Header set，也不会生效，浏览器完全收不到对应响应头。这是安全扫描报“缺失安全头”最常见原因。

打开XAMPP\apache\conf\httpd.conf，搜索mod_headers
确认这一行未被注释：LoadModule headers_module modules/mod_headers.so
如果前面有#，删掉；改完后必须重启Apache（不是重载）
验证是否生效：执行httpd -M | findstr headers（Windows）或apachectl -M | grep headers（macOS/Linux），应输出headers_module (shared)

添加CSP、X-Content-Type-Options等关键安全头的正确位置

把Header指令写在VirtualHost块内比写在全局httpd.conf更稳妥——避免影响phpMyAdmin等XAMPP自带服务，也方便按站点差异化配置。

编辑XAMPP\apache\conf\extra\httpd-vhosts.conf
在对应块内添加（示例）：

Header always set X-Content-Type-Options "nosniff"
Header always set X-Frame-Options "DENY"
Header always set X-XSS-Protection "1; mode=block"
Header always set Referrer-Policy "no-referrer-when-downgrade"
Header always set Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'"

always关键字不能省——它确保即使PHP返回3xx/4xx状态码，头依然发出
CSP中'unsafe-inline'和'unsafe-eval'仅用于开发调试，上线前必须移除或替换为nonce/hash
若用HTTPS，还需加Strict-Transport-Security，但XAMPP默认无有效证书，盲目添加会导致浏览器拒绝访问

扫描仍提示“缺少Server头隐藏”？别动`ServerTokens`就行

很多安全扫描工具把暴露Apache版本当成高危项，但XAMPP默认已设为ServerTokens Prod，只返回Server: Apache，不带版本号。你看到的Server: Apache/2.4.52 (Win64) OpenSSL/1.1.1t PHP/8.2.12大概率是没生效或被覆盖了。

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

检查httpd.conf中是否存在多个ServerTokens定义（XAMPP有时在httpd-xampp.conf里也写了一次）
确保最终生效的是ServerTokens Prod，且不在里被重写
无需设置ServerSignature Off来隐藏目录列表页的Server信息——它只影响错误页面底部，不影响HTTP响应头
重启Apache后，用curl -I http://localhost确认响应头中Server字段是否精简

本地开发环境要不要严格对标生产安全头？

要，但得区分场景。XAMPP常被用于快速验证逻辑，但一旦涉及Cookie、登录态、AJAX跨域，宽松配置会掩盖真实问题——比如CSP不启用，开发时一切正常，部署到Nginx就因脚本被拦截而白屏。

开发阶段可保留script-src 'unsafe-inline'，但务必在httpd-vhosts.conf里用条件块隔离生产模拟配置
禁止在XAMPP中启用mod_security：它与XAMPP默认PHP模块存在兼容问题，极易导致POST请求被拦截且日志无明确提示
真正容易被忽略的是Set-Cookie的Secure和HttpOnly标志——本地HTTP环境下设Secure会让浏览器直接丢弃Cookie，调试时务必关掉