xampp多端口配置需同步修改httpd.conf（添加listen端口并启用vhosts）、httpd-vhosts.conf（定义各端口virtualhost及require all granted权限），hsts仅对https有效，须在ssl虚拟主机中配置strict-transport-security响应头并确保mod_headers已加载。
XAMPP 默认不启用 HSTS，多端口配置和 HSTS 是两件事，必须分开处理；HSTS 只对 HTTPS 有效，HTTP 端口（如 8080、8081）加了也无效，还会被浏览器忽略。
多端口配置必须改 httpd.conf 和 httpd-vhosts.conf
Apache 不会自动监听新端口，只靠改 httpd-vhosts.conf 不起作用。漏掉任一环节都会导致端口打不开或 403/500 错误。
- 在
C:\XAMPP\apache\conf\httpd.conf中找到Listen 80，在其下方添加你要的端口，例如：Listen 8080、Listen 8081—— 注意不能重复，也不能被 Skype、IIS 或其他程序占用 - 确认
httpd.conf中这行已取消注释：Include conf/extra/httpd-vhosts.conf；否则所有<virtualhost></virtualhost>配置全被忽略 -
httpd-vhosts.conf里每个<virtualhost></virtualhost>块必须包含完整路径的DocumentRoot（结尾不加斜杠），且对应<directory></directory>块中要有Require all granted（旧版用Allow from all） - 如果想保留
localhost访问默认站点，必须显式配一个<virtualhost></virtualhost>块，否则所有未匹配请求都进第一个虚拟主机，可能意外跳转
HSTS 只能在 HTTPS 虚拟主机里生效
你在 http://localhost:8080 上加 Strict-Transport-Security 头毫无意义 —— 浏览器只在 HTTPS 响应中接收并缓存该头，HTTP 请求发过去会被直接丢弃。
XAMPP 8.0.30
下载
XAMPP 8.0.30 是一款免费、开源的跨平台 Web 服务器集成包，专为快速搭建本地 PHP 开发环境而设计。该版本核心组件包括：Apache 2.4.56、MySQL 8.0.33、PHP 8.0.30、phpMyAdmin 5.2.1 等。它支持 Windows、Linux 和 macOS 系统，可让开发者在个人电脑上轻松模拟服务器环境，无需复杂配置即可运行 WordPress、Thin
- 先确保 XAMPP 的 SSL 已启用：打开 XAMPP 控制面板 → Apache → Config →
httpd-ssl.conf，检查Listen 443是否存在，证书路径是否正确（默认在C:\XAMPP\apache\conf\ssl.crt\和ssl.key\） - 在
httpd-ssl.conf或 HTTPS 的<virtualhost _default_:443></virtualhost>块内添加响应头：Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" - 必须加载
mod_headers模块：检查httpd.conf中是否有LoadModule headers_module modules/mod_headers.so，且前面没被注释 - 重启 Apache 后，用
curl -I https://localhost确认响应头里真有Strict-Transport-Security；若没有，说明模块未加载或配置位置错了
常见失败点：权限、路径、协议错位
多端口 + HSTS 组合最容易卡在三个地方：一个是把 HSTS 加到 HTTP 配置里白忙活；一个是 DocumentRoot 写成相对路径或带尾斜杠；还有一个是 Windows 下忘记以管理员身份运行 XAMPP 控制面板，导致 Apache 无法绑定非特权端口（1024 以下需管理员权限，但 8080 以上一般不用）。
- Windows 上修改
hosts文件（C:\Windows\System32\drivers\etc\hosts）时，必须用记事本“以管理员身份运行”再打开编辑，否则保存失败 - Apache 启动失败时，别急着重装，先去
C:\XAMPP\apache\logs\error.log看最后一行错误 —— 大部分是语法错误或路径不存在，httpd -t命令可提前验证配置合法性 -
Require local在新版 Apache（2.4+）中比Allow from 127.0.0.1更安全，但如果你配的是*:8080这种通配监听，又没限制Require，外网可能扫到你的本地项目
真正麻烦的不是加几个端口，而是每个端口背后都要独立考虑协议（HTTP/HTTPS）、权限控制、域名解析、响应头策略 —— 尤其 HSTS 一旦设错 max-age，浏览器会强制跳转 HTTPS 长达一年，本地调试时很难撤回。
