先确认 mod_headers 模块文件存在，再取消 httpd.conf 中 loadmodule 注释并语法检查，最后在 directory 或 virtualhost 中用 header always set 配置安全头，通过 phpinfo 和浏览器开发者工具验证生效。
确认 mod_headers 模块文件是否存在
XAMPP 自带 mod_headers，但默认不启用。先别改配置，先确认模块文件真实存在：mod_headers.so（Linux/macOS）或 mod_headers.dll（Windows），路径为 C:\xampp\apache\modules\（Windows）或 /Applications/XAMPP/xamppfiles/modules/（macOS）。如果这个文件压根不存在，说明你用的 XAMPP 版本未打包该模块——强行下载第三方 .so/.dll 极大概率导致 Apache 启动崩溃，不建议。
取消 httpd.conf 中的 LoadModule 注释
打开 C:\xampp\apache\conf\httpd.conf（Windows）或对应路径的配置文件，搜索：
LoadModule headers_module modules/mod_headers.so
如果这行开头有 #，删掉它；如果整行被注释或缺失，手动添加到 LoadModule 区块末尾（确保在 Include conf/extra/httpd-modules.conf 之前）。注意：Windows 下必须是 .dll，不是 .so；macOS/Linux 下只认 .so。
改完后务必执行语法检查：httpd -t（Windows 需以管理员身份运行命令行，cd 到 xampp\apache\bin 目录下）。若输出 Syntax OK，再重启 Apache ——不是点“Restart”，而是明确 Stop → 等状态变灰 → 再 Start。
验证是否生效：访问 http://localhost/xampp/phpinfo.php，搜索 headers，看到 mod_headers 出现在 “Loaded Modules” 列表里才算成功。
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
在 Directory 或 VirtualHost 中设置安全头，别碰 .htaccess
Header 指令不能写在全局配置顶层，也不能依赖 .htaccess：XAMPP 默认禁用 AllowOverride All，且 Header 不在默认允许覆盖的指令集中，放 .htaccess 必然触发 500 错误。
推荐做法是写进 <directory></directory> 块（对整个 htdocs 有效）或 <virtualhost></virtualhost> 块（按端口/域名精细控制）。例如：
<directory>
Require all granted
<ifmodule mod_headers.c>
Header always set X-Content-Type-Options "nosniff"
Header always set X-Frame-Options "DENY"
Header always set X-XSS-Protection "1; mode=block"
Header always set Referrer-Policy "no-referrer-when-downgrade"
</ifmodule></directory>
-
Header always set比Header set更稳妥，确保预检请求（OPTIONS）也能带上头 - 所有值必须用英文双引号包裹，漏引号或大小写错误（如
"NoSniff"）会导致httpd -t失败 - 若项目用了 HTTPS，建议加
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"，但仅限已配好 SSL 的环境
常见失效原因和绕不开的坑
即使模块加载成功、语法无误，安全头仍可能不出现，核心原因就三个：
- 请求返回 403/404：权限配置缺失（如缺
Require all granted），Apache 根本不执行Header指令 - 用了
Header set而非Header always set：OPTIONS 预检响应里没头，浏览器直接拦截后续请求 - 多个
Header set写在同一作用域：只有最后一行生效；要设多个值（如多个Content-Security-Policy），得用Header add或合并成单条
最易被忽略的是：安全头配置本身不会报错，哪怕全写错，Apache 也照常启动、请求照常返回 200 —— 你只能靠浏览器 DevTools 的 Network → Response Headers 面板肉眼确认。别信“改了就一定生效”。
