XAMPP多端口配置需在httpd.conf中添加Listen指令（如Listen 8080、Listen 8081），并全局启用Header always set X-Content-Type-Options "nosniff"，同时在httpd-vhosts.conf中为各端口配置对应VirtualHost及Require all granted权限，确保所有端口均生效且无403错误。

XAMPP 多端口配置本身不干扰安全响应头，但 X-Content-Type-Options 必须在所有端口的响应中统一生效，否则部分端口站点仍可能被 MIME 嗅探攻击。

修改 httpd.conf 启用多端口监听

Apache 默认只监听 80，要支持 http://localhost:8080 和 http://localhost:8081 等多个端口，必须显式声明每个端口：

• 打开 C:\XAMPP\apache\conf\httpd.conf
• 在 Listen 80 行下方新增你需要的端口，例如：
  Listen 8080
Listen 8081
• 确保没有其他服务（如 IIS、Skype、WSL2 的默认服务）正占用这些端口；可用命令 netstat -ano | findstr :8080 检查
• 若改过 ServerName，务必保持格式为 ServerName localhost:端口号，比如 ServerName localhost:8080，否则 Apache 可能启动失败

在所有端口上全局启用 X-Content-Type-Options

X-Content-Type-Options: nosniff 是防御 MIME 嗅探的关键头，它禁止浏览器“猜测”资源类型。这个头必须对所有端口的响应都生效，不能只配在某个 <virtualhost></virtualhost> 里：

XAMPP 8.0.30

XAMPP 8.0.30 是一款免费、开源的跨平台 Web 服务器集成包，专为快速搭建本地 PHP 开发环境而设计。该版本核心组件包括：Apache 2.4.56、MySQL 8.0.33、PHP 8.0.30、phpMyAdmin 5.2.1 等。它支持 Windows、Linux 和 macOS 系统，可让开发者在个人电脑上轻松模拟服务器环境，无需复杂配置即可运行 WordPress、Thin

下载

• 不要只在 httpd-vhosts.conf 的某个 <VirtualHost *:8080> 块里加 Header set —— 这样 :8081 就没效果
• 应在 httpd.conf 全局作用域添加（推荐放在 LoadModule headers_module modules/mod_headers.so 启用之后）：
  

  Header always set X-Content-Type-Options "nosniff"

• 确认 mod_headers 已启用：检查 httpd.conf 中该行未被注释（即不是以 # 开头）
• 重启 Apache 后，用 curl -I http://localhost:8080/ 和 curl -I http://localhost:8081/ 分别验证响应头是否都含 X-Content-Type-Options: nosniff

虚拟主机配置需同步适配端口与路径

仅监听多端口还不够，每个端口要指向不同项目目录，且权限配置不当会导致 403 或头失效：

• 编辑 C:\XAMPP\apache\conf\extra\httpd-vhosts.conf，确保顶部已取消注释：
  Include conf/extra/httpd-vhosts.conf（在 httpd.conf 中）
• 每个 <VirtualHost *:8080> 块内，DocumentRoot 必须是绝对路径、无尾斜杠（如 C:/xampp/htdocs/myapp，不是 C:/xampp/htdocs/myapp/）
• <Directory> 块中必须包含现代 Apache 的权限指令：
  Require all granted（旧版 Order Deny,Allow 在 Apache 2.4+ 已废弃）
• 若访问返回 403，大概率是 <Directory> 权限没放开，或路径中含中文/空格（XAMPP 对这类路径兼容性差）

真正容易被忽略的是：安全响应头一旦漏掉任一端口，就等于给攻击者留了后门；而 mod_headers 是否启用、Require all granted 是否写对、路径是否含非法字符——这三个点任意一个出错，都会让多端口配置看似成功，实则部分站点无法访问或头不生效。