phpEnv中Apache配置文件默认位于D:\phpEnv\Apache24\conf\httpd.conf，需修改该文件并重启Apache服务才能生效，.htaccess默认不支持。
phpEnv 中 Apache 配置文件在哪
phpEnv 是 Windows 下集成环境（Apache + PHP + MySQL），其 Apache 配置文件默认位于 D:\phpEnv\Apache24\conf\httpd.conf，不是 .htaccess。你不能指望在网站根目录放 .htaccess 就生效——phpEnv 默认禁用 AllowOverride，且多数场景下没启用 mod_headers。
确认 mod_headers 是否已启用
打开 D:\phpEnv\Apache24\conf\httpd.conf，搜索以下两行：
LoadModule headers_module modules/mod_headers.so
Include conf/extra/httpd-headers.conf（可选，非必需）
立即学习“PHP免费学习笔记（深入）”；
如果第一行被注释（开头有 #），删掉它；第二行可忽略。改完保存后，必须重启 Apache 服务（通过 phpEnv 控制台或命令行执行 httpd -k restart）。
验证是否生效：访问任意 PHP 页面，在开发者工具 Network 标签页查看响应头，或临时加一行 <?php header('X-Test: 1'); ?>，再看是否能被 Header unset 干掉。
在 httpd.conf 中添加 Header 指令的正确写法
不要把 Header 指令写在 <virtualhost></virtualhost> 外部的全局位置（容易被忽略），也不要塞进 .htaccess（phpEnv 默认不支持）。推荐放在 <virtualhost></virtualhost> 块末尾，紧贴 前：
<IfModule mod_headers.c> Header always set X-Content-Type-Options "nosniff" Header always set X-Frame-Options "DENY" Header unset X-Powered-By</IfModule>
注意三点：
-
Header always set比Header set更可靠，避免被 PHP 的header()覆盖 - 移除
X-Powered-By这类头能减小响应头体积，对解决 500 错误（如因 Drupal 缓存标签过大）有直接帮助 - 若你用的是 ThinkPHP 等框架并启用了 CORS，别只在 PHP 里设
Access-Control-Allow-Origin，Apache 层加更稳定，尤其对预检请求（OPTIONS）
为什么改了不生效？常见卡点
改完配置却看不到新 Header 或旧 Header 还在，大概率是这几个原因：
- 没重启 Apache：phpEnv 界面点「重启 Apache」或命令行进
D:\phpEnv\Apache24\bin执行httpd -k restart - 浏览器缓存了预检响应（OPTIONS）：清空开发者工具 Network 记录，用
curl -I http://localhost/test.php直接测原始响应头 - PHP 脚本里调用了
header_remove('X-Frame-Options')或覆盖了你设的值：检查代码中是否有header()、header_remove()、http_response_code()等干扰操作 - 你修改的是错误的配置文件：确认编辑的是
D:\phpEnv\Apache24\conf\httpd.conf，不是某个子目录下的临时副本
最隐蔽的一点：phpEnv 自带的 Apache 版本（如 2.4.7）对 Header always 支持有限，若遇到语法报错，降级用 Header set + Header unset 组合，并确保它们都在同一个 <ifmodule></ifmodule> 块内。
