应通过Response对象的headers属性设置响应头，而非手动header()；JsonResponse已自动设置Content-Type，勿重复设置；重定向须用RedirectResponse或redirectToRoute()；动态头需在控制器内读取Request并一次性设置。
直接调用Response对象的headers->set()方法
控制器返回的Response实例自带headers属性，所有响应头都应通过它设置，而不是手动header()或修改$_SERVER。框架会确保这些头在最终输出前被正确发送。
常见错误是忘记调用return，或把set()写在return之后——那行代码根本不会执行：
-
Response对象一旦返回，后续对它的修改无效 - 多个同名头（如重复
Cache-Control）会被后设的覆盖，不是追加 - 某些头（如
Content-Type）由JsonResponse等子类自动设置，手动再设可能冲突
示例：
use Symfony\Component\HttpFoundation\Response;
public function downloadAction(): Response
{
$response = new Response('file content');
$response->headers->set('Content-Type', 'application/octet-stream');
$response->headers->set('Content-Disposition', 'attachment; filename="data.bin"');
$response->headers->set('X-Content-Generated-By', 'Symfony 8');
return $response;
}
使用JsonResponse时别重复设Content-Type
JsonResponse构造时已默认设好Content-Type: application/json; charset=utf-8，再调用$response->headers->set('Content-Type', ...)会覆盖它，可能导致前端解析失败或乱码。
如果需要额外头，只设非冲突项：
- 允许跨域？用
$response->headers->set('Access-Control-Allow-Origin', '*') - 强制下载 JSON 文件？改
Content-Disposition，但别动Content-Type - 要禁用缓存？用
$response->setPublic()->setMaxAge(0)->setSharedMaxAge(0)，比手写Cache-Control更安全
错误写法：
$response = new JsonResponse(['ok' => true]);
$response->headers->set('Content-Type', 'text/plain'); // ❌ 覆盖了 JSON 类型
重定向响应要用RedirectResponse或redirectToRoute()
不要自己拼Location头并返回普通Response——那样状态码是200，不是302/301，搜索引擎和浏览器都不会当真重定向。
正确方式只有两种：
- 返回
RedirectResponse实例：new RedirectResponse('/login') - 在继承
AbstractController的控制器里，用$this->redirectToRoute('route_name')或$this->redirect('/absolute/path')
它们内部会自动设置Location头+302状态码。若需301，传第三个参数：$this->redirect('/old', 301)。
动态头依赖请求信息时，注意Request对象生命周期
比如根据$request->getPreferredLanguage(['en', 'zh'])设Content-Language，必须在Response创建前读取Request，因为Request对象在控制器方法退出后就不可靠了。
容易踩的坑：
- 在
kernel.terminate事件里试图读$event->getRequest()->headers——此时原始请求头已不可用 - 在异步任务（如
Messenger处理）中尝试复用控制器里的Request对象——它早已销毁 - 用
$_SERVER['HTTP_X_FORWARDED_FOR']代替$request->getClientIp()——绕过 Symfony 的可信代理配置，可能被伪造
真正安全的做法是：所有基于请求的头逻辑，必须在控制器方法体内完成，并在返回Response前一次性设置好。
