怎么通过虚拟主机配置Header指令为特定站点添加自定义安全响应头部-Apache-PHP中文网

最稳妥推荐方式是在虚拟主机配置块中单独设置安全头：nginx用add_header ... always置于server块，apache用内header always set置于virtualhost块，确保覆盖所有响应状态码并适配站点实际https与业务需求。

直接在对应虚拟主机的配置块里写 add_header（nginx）或 header set（apache），是为特定站点添加自定义安全响应头最稳妥、最推荐的方式。全局配置容易误伤，而每个站点独立设置才能精准匹配其 https 状态、子域策略和业务逻辑。

在 Nginx 虚拟主机中单独配置

每个 server 块代表一个域名站点，安全头必须放在这里，而不是 http 块顶层：

确保使用 always 参数，例如：
add_header X-Content-Type-Options "nosniff" always;
否则 301/404/500 等非 2xx 响应不会携带该头
HSTS 必须按站点实际 HTTPS 可用性启用：
主站 example.com 启用了 includeSubDomains，就不要在 blog.example.com 的 server 块里重复加——它已被强制覆盖；若子站是独立证书或 CDN 接入，需先确认其 HTTPS 稳定可用再启用
CSP 策略不能“一刀切”，应根据该站点是否加载外部字体、脚本、iframe 等动态调整，例如：
add_header Content-Security-Policy "default-src 'self'; script-src 'self' https://cdn.example.com;" always;

在 Apache 虚拟主机中单独配置

把安全头写进 <virtualhost></virtualhost> 块内，并包裹在 <ifmodule mod_headers.c></ifmodule> 中，确保模块已启用：

检查是否加载了 mod_headers：
Debian/Ubuntu 执行 a2enmod headers；RHEL/CentOS 确认 httpd.conf 中 LoadModule headers_module modules/mod_headers.so 未被注释

推荐写法（作用于全部响应，含重定向和错误页）：

<ifmodule mod_headers.c><br>  Header always set X-Frame-Options "DENY"<br>  Header always set Referrer-Policy "strict-origin-when-cross-origin"<br>  Header always set Permissions-Policy "geolocation=(), microphone=(), camera=()"<br></ifmodule>

避免在 .htaccess 中设关键安全头——它只对 Apache 的文件服务路径生效，不覆盖 PHP 或反向代理返回的响应

宝塔面板用户快速操作路径

无需手改配置文件，图形界面即可完成：

进入【网站】→ 点击目标站点【设置】→【配置文件】选项卡
Nginx 环境：在 location / 区块内或 server 块末尾粘贴 add_header ... always; 指令
Apache 环境：在配置文件末尾 <ifmodule mod_headers.c></ifmodule> 内添加 Header always set ...
保存后务必点击【重载配置】，不是仅保存文件

验证是否生效

别依赖浏览器开发者工具的“Network”标签页简单查看，要重点确认两点：

用 curl -I https://your-site.com 查看原始响应头，确认字段存在且值正确
特别测试非 200 响应，比如访问一个不存在的路径：curl -I https://your-site.com/404test，验证带 always 的头是否依然出现
用 securityheaders.com 扫描，它会指出缺失项、格式错误或策略冲突（如 HSTS 与 HTTP 混用）