PHP无法直接设置Feature Policy头，应改用Permissions-Policy；header()不生效主因是输出提前发生，需确保UTF-8无BOM且在任何输出前调用；推荐由Web服务器配置以避免覆盖问题。
PHP 中无法直接通过语言特性设置 Feature Policy 头，必须由 Web 服务器（如 Apache、Nginx）或 PHP 脚本手动发送 HTTP 响应头；且该策略头已废弃，应改用 Permissions-Policy。
为什么 PHP 的 header() 有时不生效
常见原因是输出已提前发生（比如空格、BOM、echo 前的换行），导致 header() 调用失败。PHP 不会报错，但浏览器收不到头。
- 检查 PHP 文件是否以 UTF-8 无 BOM 格式保存
- 确保
header('Permissions-Policy: geolocation=(), camera=()')在任何echo、print或 HTML 输出前调用 - 若使用框架（如 Laravel、Symfony），优先在中间件或响应构造阶段设置，而非控制器中零散调用
Permissions-Policy 与旧 Feature-Policy 的写法差异
Feature-Policy 已被 Chrome 93+、Firefox 97+ 等主流浏览器完全弃用，继续使用会被忽略。新头名、语法和默认行为都不同。
- 头名改为
Permissions-Policy（注意大小写和连字符位置） - 值格式为逗号分隔的指令列表：
geolocation=(), camera=(), microphone=()，括号内可填'self'、'https://example.com'或空表示禁止 - 未声明的权限默认允许（不同于旧策略的“默认禁止”），所以必须显式禁用敏感功能
- PHP 示例：
header("Permissions-Policy: geolocation=(), camera=(), microphone=(), fullscreen=(self)");
Apache/Nginx 比 PHP header() 更可靠
服务端配置一次性生效，不依赖 PHP 执行顺序，也避免被缓存、CDN 或框架覆盖。
立即学习“PHP免费学习笔记（深入）”；
- Apache：在
.htaccess或虚拟主机配置中加Header set Permissions-Policy "geolocation=(), camera=()"，需启用mod_headers - Nginx：在
server或location块中加add_header Permissions-Policy "geolocation=(), camera=()";，注意add_header不继承父级，需在每个 location 显式写 - CDN（如 Cloudflare）可能过滤或覆盖该头，需在 CDN 控制台单独配置响应头或关闭“优化”类中间件
真正起作用的是最终送达浏览器的那个 Permissions-Policy 值——它可能来自 Nginx、PHP、CDN 或反向代理中的任意一层，而优先级和覆盖逻辑容易被忽略。调试时务必用浏览器开发者工具的 Network → Response Headers 面板确认实际发出的头内容，而不是只信 PHP 代码里写了什么。
