HSTS 必须在 Apache 配置层手动启用 mod_headers 和 mod_ssl 模块，并在 :443 虚拟主机中添加 Header always set Strict-Transport-Security，PHP 的 header() 不可靠。
HSTS 不能靠 phpEnv 自带的 Apache 配置一键开启，必须手动编辑虚拟主机配置并确认模块加载，否则头根本不会发出去。
确认 mod_headers 和 mod_ssl 是否真正启用
phpEnv 是集成环境，但它的 Apache 默认未必启用 headers 模块——而 HSTS 必须靠它注入响应头。只启用了 ssl 不够。
- 打开 phpEnv 安装目录下的
Apache\conf\httpd.conf，搜索mod_headers.so和mod_ssl.so，确保两行都未被注释（即没有开头的#） - 如果找不到或被注释，手动取消注释；Windows 下路径通常是
LoadModule headers_module modules/mod_headers.so和LoadModule ssl_module modules/mod_ssl.so - 改完后重启 Apache（用 phpEnv 界面点“重启 Apache”，不是只刷新页面）
- 验证是否生效：命令行执行
httpd -M | findstr "headers ssl"（Windows）或httpd -M | grep -E "(headers|ssl)"（Linux/macOS），看到两行输出才算成功
只在 443 虚拟主机里加 Header always set Strict-Transport-Security
phpEnv 的 Apache 配置通常把 HTTP 和 HTTPS 分开写在不同 <VirtualHost> 块里。HSTS 头只对 HTTPS 响应有效，写在 :80 块里完全无效，还可能干扰调试。
- 找到你站点对应的
<VirtualHost *:443>块（不是*:80） - 在
SSLEngine on后面、</VirtualHost>前插入：Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
- 不要加
preload—— phpEnv 多用于本地开发或测试，进不了浏览器预加载列表，反而容易因子域名缺失 HTTPS 导致访问失败 - 首次测试建议先用
max-age=300（5 分钟），确认浏览器 Network 标签页能看到该 header 再调高
curl 或浏览器 Network 标签页看不到 HSTS 头？先查这三处
常见原因不是配置错，而是环境没到位：
立即学习“PHP免费学习笔记（深入）”；
- 请求地址是
http://开头 —— HSTS 只在 HTTPS 响应中被接受，HTTP 请求即使重定向到 HTTPS，中间那步 301 也不带 HSTS 头，浏览器收不到 - phpEnv 的 Apache 被其他代理（比如你开了 Charles/Fiddler，或系统 hosts 指向了非本地 IP）截断了连接，导致响应头被覆盖或丢弃
- 证书不被信任（如自签名、或未导入到系统/浏览器根证书库），部分浏览器（尤其是 Chrome）会拒绝处理响应头，包括 HSTS —— 先用
curl -Ik https://localhost绕过证书校验看头是否存在
PHP 层用 header() 发 HSTS 不可靠，别依赖它
虽然 header('Strict-Transport-Security: max-age=31536000') 在 PHP 里能运行，但在 phpEnv 这类集成环境中风险更高：
- 一旦某个 PHP 脚本提前输出了空格、BOM 或
echo，就会触发Cannot modify header information警告，HSTS 头直接丢失 - phpEnv 默认常启用
output_buffering，但缓冲区大小或清空时机不可控，不如 Apache 的Header always set强制注入稳定 - 某些 phpEnv 版本的 Apache 使用的是
mod_php+ CGI 混合模式，PHP 生命周期和响应头注入时序更难保证
真正要让 HSTS 生效，就得在 Apache 配置层搞定，而不是指望每个 PHP 文件都记得加 header —— 少一个就全站失效。
