Apache配置Header指令被忽略，主因是XAMPP默认禁用mod_headers模块；需取消httpd.conf中LoadModule headers_module modules/mod_headers.so的注释并重启Apache，再在VirtualHost内用Header always set添加安全头。
Apache配置Header指令被忽略？检查mod_headers是否启用
默认XAMPP安装中mod_headers是禁用的，即使你在httpd.conf或虚拟主机里写了Header set，也不会生效，浏览器完全收不到对应响应头。这是安全扫描报“缺失安全头”最常见原因。
- 打开
XAMPP\apache\conf\httpd.conf，搜索mod_headers - 确认这一行未被注释：
LoadModule headers_module modules/mod_headers.so - 如果前面有
#，删掉；改完后必须重启Apache（不是重载） - 验证是否生效：执行
httpd -M | findstr headers（Windows）或apachectl -M | grep headers（macOS/Linux），应输出headers_module (shared)
添加CSP、X-Content-Type-Options等关键安全头的正确位置
把Header指令写在VirtualHost块内比写在全局httpd.conf更稳妥——避免影响phpMyAdmin等XAMPP自带服务，也方便按站点差异化配置。
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 编辑
XAMPP\apache\conf\extra\httpd-vhosts.conf - 在对应
<virtualhost></virtualhost>块内添加（示例）：
Header always set X-Content-Type-Options "nosniff" Header always set X-Frame-Options "DENY" Header always set X-XSS-Protection "1; mode=block" Header always set Referrer-Policy "no-referrer-when-downgrade" Header always set Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'"
-
always关键字不能省——它确保即使PHP返回3xx/4xx状态码，头依然发出 - CSP中
'unsafe-inline'和'unsafe-eval'仅用于开发调试，上线前必须移除或替换为nonce/hash - 若用HTTPS，还需加
Strict-Transport-Security，但XAMPP默认无有效证书，盲目添加会导致浏览器拒绝访问
扫描仍提示“缺少Server头隐藏”？别动ServerTokens就行
很多安全扫描工具把暴露Apache版本当成高危项，但XAMPP默认已设为ServerTokens Prod，只返回Server: Apache，不带版本号。你看到的Server: Apache/2.4.52 (Win64) OpenSSL/1.1.1t PHP/8.2.12大概率是没生效或被覆盖了。
- 检查
httpd.conf中是否存在多个ServerTokens定义（XAMPP有时在httpd-xampp.conf里也写了一次） - 确保最终生效的是
ServerTokens Prod，且不在<virtualhost></virtualhost>里被重写 - 无需设置
ServerSignature Off来隐藏目录列表页的Server信息——它只影响错误页面底部，不影响HTTP响应头 - 重启Apache后，用
curl -I http://localhost确认响应头中Server字段是否精简
本地开发环境要不要严格对标生产安全头？
要，但得区分场景。XAMPP常被用于快速验证逻辑，但一旦涉及Cookie、登录态、AJAX跨域，宽松配置会掩盖真实问题——比如CSP不启用，开发时一切正常，部署到Nginx就因脚本被拦截而白屏。
- 开发阶段可保留
script-src 'unsafe-inline'，但务必在httpd-vhosts.conf里用<if></if>条件块隔离生产模拟配置 - 禁止在XAMPP中启用
mod_security：它与XAMPP默认PHP模块存在兼容问题，极易导致POST请求被拦截且日志无明确提示 - 真正容易被忽略的是
Set-Cookie的Secure和HttpOnly标志——本地HTTP环境下设Secure会让浏览器直接丢弃Cookie，调试时务必关掉
