phpenv下必须手动启用mod_headers和mod_ssl模块并在*:443虚拟主机中配置header always set strict-transport-security，php的header()不可靠；需验证模块加载、确保https请求、排除代理与证书干扰。
phpEnv必须手动启用mod_headers和mod_ssl模块
phpEnv默认不启用mod_headers，而HSTS依赖它注入响应头——只开mod_ssl没用。打开Apache\conf\httpd.conf，搜索这两行：
LoadModule headers_module modules/mod_headers.soLoadModule ssl_module modules/mod_ssl.so
如果任意一行开头有#，删掉；改完必须用phpEnv界面点“重启 Apache”，不是刷新网页。验证是否生效：命令行执行httpd -M | findstr "headers ssl"（Windows）或httpd -M | grep -E "(headers|ssl)"（Linux/macOS），看到两行输出才算到位。
只在里加Header always set Strict-Transport-Security
HSTS头只对HTTPS响应有效，写在:80块里完全白费，还可能干扰调试。找到你站点对应的<virtualhost></virtualhost>块（不是*:80），在SSLEngine on后面、前插入：
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
开发环境别加preload——本地没提交hstspreload.org，浏览器不认，反而可能因子域没配HTTPS导致整个域名打不开。首次测试建议先用max-age=300，确认Network标签页能看到该header再调高。
curl或浏览器看不到HSTS头？先排除这三类干扰
不是配置错，而是环境卡住了：
- 请求地址是
http://开头——HSTS只在HTTPS响应中被接受，HTTP跳转那步301根本不会带这个头 - 用了Charles/Fiddler，或
hosts把域名指向了非127.0.0.1的IP，代理截断连接导致响应头丢失 - 证书是自签名或未导入系统/浏览器根证书库——Chrome等会直接拒绝处理包括HSTS在内的所有响应头
绕过干扰验证：命令行跑curl -Ik https://localhost，看返回头里有没有Strict-Transport-Security。
PHP层header()方式在phpEnv里不可靠
虽然header('Strict-Transport-Security: max-age=...')语法没错，但在phpEnv这类集成环境里容易踩坑：
- 必须确保HTTPS已生效、且PHP脚本任何输出（含空格、BOM、
echo、var_dump）前调用，否则报Cannot modify header information - 无法覆盖404/500等错误页的响应头，而Apache配置能统一生效
- phpEnv的Apache转发逻辑可能让PHP执行时机晚于连接建立初期，安全防护存在窗口期
真正可靠的路径只有一条：Web服务器层注入——它发生在SSL握手完成后、PHP执行前，不依赖脚本顺序，也不怕输出缓冲失控。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
