phpEnv配置Nginx自定义Header头 phpEnv安全响应头-php教程-PHP中文网

phpenv 默认不自动注入安全响应头，必须在 nginx 配置的 location 块中使用 add_header ... always 才能在 304 等非 2xx 响应中生效，否则存在点击劫持等安全风险。

phpenv配置nginx自定义header头 phpenv安全响应头

phpEnv 默认不自动注入安全响应头，必须手动在 Nginx 配置中添加 add_header ... always 才能生效，否则 304、404、500 等非 2xx 响应会完全缺失关键安全字段。

为什么 phpEnv 的 Nginx 配置里加了 `add_header` 却没出现在 304 响应中

因为 phpEnv 内置的 Nginx 是标准编译版本，add_header 默认只对 200、201、204、301–303 等状态码生效，明确排除 304——哪怕你看到文档说“支持 304”，实际行为仍是跳过。浏览器收到无 X-Frame-Options 或 Strict-Transport-Security 的 304 响应，会当作“未声明策略”处理，存在点击劫持或降级风险。

必须显式加 always 参数才能覆盖该限制：

add_header X-Frame-Options "DENY" always;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
add_header X-Content-Type-Options "nosniff" always;

漏掉 always 是 phpEnv 用户最常踩的坑，且不会报错，只是静默失效。

在 phpEnv 中修改 Nginx 配置文件的位置和写法

phpEnv 的站点配置文件路径为：C:\phpEnv\nginx\vhost\你的域名.conf（Windows 路径，注意反斜杠需转义或用正斜杠）。不要改全局 nginx.conf，避免影响其他 PHP 版本或站点。

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

推荐写在 location / 块内，或紧贴 root 指令之后：

location / {
    root   "C:/phpEnv/www/your-site";
    index  index.php;
    add_header X-Content-Type-Options "nosniff" always;
    add_header X-Frame-Options "DENY" always;
    add_header X-XSS-Protection "1; mode=block" always;
    add_header Referrer-Policy "no-referrer-when-downgrade" always;
}

注意：

每行 add_header 后必须有分号，always 必须写在值之后、分号之前
多个同名 header 会被最后一条覆盖（Nginx 不合并），不要在 http 和 server 两级重复定义 X-Frame-Options
改完后必须在 phpEnv 主界面点击【重启 Nginx】，仅“重载”可能不生效（部分版本 reload 逻辑不完整）

验证 phpEnv 下的 Header 是否真生效

别只看 200 响应，重点验证 304：

先用浏览器访问一个静态资源（如 /style.css），F12 查看响应头，确认有 X-Frame-Options 等字段
再用 curl 模拟协商缓存：curl -I -H "If-None-Match: \"abc123\"" http://localhost/style.css
观察返回是否为 HTTP/1.1 304 Not Modified，且响应头中仍包含你配置的自定义头

若 304 中没有，检查三件事：