如何在 XAMPP 中启用 Apache 的 mod_headers 模块设置安全头

先澄清一个多数人容易忽略的细节：XAMPP 虽然顺手，但安全头配置这件事上，它默认是“半残”状态。mod_headers 模块确实自带了，可就是不给你激活。

所以，要做的事情其实很清晰：确认模块文件存在 → 在 httpd.conf 里把 LoadModule 那行的注释删掉 → 语法检查通过 → 重启 Apache → 用 phpinfo 和浏览器开发者工具验收。每一步都有坑，下面一个一个说清楚。

第一步：确认模块文件是否存在

XAMPP 自带 mod_headers，但默认不启用。别急着改配置，先确认模块文件真实存在。

• Windows 下：C:\xampp\apache\modules\mod_headers.dll
• macOS 下：/Applications/XAMPP/xamppfiles/modules/mod_headers.so
• Linux 下：路径类似，后缀为 .so

如果文件压根不存在，说明你用的 XAMPP 版本没打包这个模块。这种情况下，从网上随便下载第三方 .so 或 .dll 文件顶上去，极大概率导致 Apache 启动崩溃——不推荐。

第二步：取消 httpd.conf 中的 LoadModule 注释

打开 C:\xampp\apache\conf\httpd.conf（Windows）或对应路径的配置文件，搜索这一行：

LoadModule headers_module modules/mod_headers.so

如果行首有 #，删掉它；如果整行被注释掉了，就手动补上。注意一个关键点：Windows 下文件后缀必须是 .dll，macOS/Linux 下只认 .so——写错后缀，语法检查直接报错。

改完之后，必须做语法检查：执行 httpd -t。Windows 需要以管理员身份运行命令行，并 cd 到 xampp\apache\bin 目录。输出 Syntax OK 才算通过。然后重启 Apache——不是点“Restart”，而是明确 Stop → 等状态变灰 → 再 Start。

验证是否生效：访问 http://localhost/xampp/phpinfo.php，搜索 headers，看 mod_headers 是否出现在 “Loaded Modules” 列表里。

第三步：在 Directory 或 VirtualHost 中配置安全头

很多人习惯把配置写进 .htaccess，但这条路在 XAMPP 下行不通。XAMPP 默认禁用了 AllowOverride All，而且 Header 指令不在默认允许覆盖的指令集里，放 .htaccess 里必然触发 500 错误。

推荐的做法是写进 块（对整个 htdocs 生效）或 块（按端口或域名精细控制）。示例配置：

    Require all granted
    
        Header always set X-Content-Type-Options "nosniff"
        Header always set X-Frame-Options "DENY"
        Header always set X-XSS-Protection "1; mode=block"
        Header always set Referrer-Policy "no-referrer-when-downgrade"
    

几个关键细节：

• 用 Header always set 而不是 Header set，前者能覆盖包括 OPTIONS 预检请求在内的所有响应，更稳妥
• 所有值必须用英文双引号包裹，漏引号或大小写错误（比如写成 "NoSniff"）都会导致语法检查失败
• 如果项目启用了 HTTPS，可以额外加一行 Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"，但仅限 SSL 环境

常见失效原因与绕不开的坑

就算模块加载成功、语法也通过了，安全头仍可能不出现。核心原因就三个：

• 请求返回 403 或 404： 权限配置缺失（如缺 Require all granted），Apache 根本不会执行 Header 指令
• 用了 Header set 而非 Header always set： OPTIONS 预检响应里没头，浏览器直接拦截后续请求
• 多个 Header set 写在同一作用域： 只有最后一行生效；如果要设多个值（比如多个 Content-Security-Policy 指令），得用 Header add 或者合并成单条

最容易被忽略的是：安全头配置本身不会报错。哪怕全写错了，Apache 也照常启动、请求照常返回 200——你只能靠浏览器开发者工具的 Network → Response Headers 面板肉眼看。别信“改了就一定生效”，只有亲眼看到才靠谱。