apache本身不内置hsts支持，必须通过header指令在https虚拟主机中手动注入strict-transport-security响应头；hsts仅对443等https端口生效，在http端口（如8080）设置无效且会被浏览器忽略。
Apache 本身不内置 HSTS 支持，必须通过 Header 指令手动注入 Strict-Transport-Security 响应头；而多端口配置与 HSTS 无直接耦合，但 HSTS 只对 HTTPS 端口（如 443）生效，对 HTTP 端口（如 8080、8081）设置无效，甚至可能被浏览器忽略或报错。
为什么在 HTTP 端口加 Header set Strict-Transport-Security 没用
HSTS 是一个仅由 HTTPS 响应触发的安全策略。浏览器只在收到合法 TLS 连接下的 Strict-Transport-Security 头时才会记录并强制后续请求走 HTTPS。
- 你在
http://localhost:8080上设置该头，浏览器会直接丢弃，不存储也不执行 - 即使配置成功，
localhost和127.0.0.1默认不在 HSTS 预加载列表中，且不支持includeSubDomains或preload标志的本地测试 - 若误将 HSTS 头加到 HTTP 虚拟主机里，还可能干扰调试——比如用 curl -I 查看响应时看到头存在，误以为生效了
正确开启 HSTS：只配在 HTTPS 虚拟主机（httpd-ssl.conf）里
确保你已启用 SSL 模块，并使用 https://localhost 或自定义域名（如 https://dev.local）访问。操作路径如下：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 编辑
\xampp\apache\conf\extra\httpd-ssl.conf - 在对应
<virtualhost _default_:443></virtualhost>块内，添加：Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
- 确认已加载
headers_module：检查httpd.conf中有LoadModule headers_module modules/mod_headers.so且未被注释 - 重启 Apache；用
curl -I https://localhost验证响应头是否出现
多端口和 HSTS 能不能共存？可以，但得分开管
多端口本身是 HTTP 层行为（Listen 80, Listen 8080），HSTS 是 HTTPS 安全策略，二者物理上不冲突，但逻辑上必须隔离：
-
Listen 80和Listen 8080等 HTTP 端口：只做开发路由，不加 HSTS 头，也不应重定向到 HTTPS（除非你真跑本地 TLS） -
Listen 443（或自定义 HTTPS 端口如Listen 8443）：必须配 SSL 证书（XAMPP 自带server.crt/server.key），并在对应<virtualhost></virtualhost>中加Header - 若想让
http://localhost:8080自动跳转到https://localhost:443，需额外加RewriteRule，但这和 HSTS 无关，只是用户引导
容易踩的坑：HSTS 开启后本地调试变麻烦
HSTS 生效后，只要浏览器记住了这个策略，哪怕你关掉 Apache、删掉配置、换回 HTTP，它仍会强制跳 HTTPS——直到 max-age 过期或手动清除 HSTS 缓存。
- Chrome 清除方式：
chrome://net-internals/#hsts→ 输入域名 → Delete domain security policies - Firefox 清除方式：地址栏输入
about:config→ 搜索security.cert_pinning.enforcement_level，临时设为0（不推荐长期改） - 开发阶段建议先用短
max-age=300（5 分钟），验证无误再调长 - 切勿对
localhost设置preload，它不会被 Chrome 预加载列表接受，且无法撤销
