phpEnv 默认不自动注入安全响应头，必须在 Nginx 配置的 location 块中使用 add_header ... always 才能在 304 等非 2xx 响应中生效，否则存在点击劫持等安全风险。
phpEnv 默认不自动注入安全响应头，必须手动在 Nginx 配置中添加 add_header ... always 才能生效，否则 304、404、500 等非 2xx 响应会完全缺失关键安全字段。
为什么 phpEnv 的 Nginx 配置里加了 add_header 却没出现在 304 响应中
因为 phpEnv 内置的 Nginx 是标准编译版本，add_header 默认只对 200、201、204、301–303 等状态码生效，明确排除 304——哪怕你看到文档说“支持 304”，实际行为仍是跳过。浏览器收到无 X-Frame-Options 或 Strict-Transport-Security 的 304 响应，会当作“未声明策略”处理，存在点击劫持或降级风险。
必须显式加 always 参数才能覆盖该限制：
add_header X-Frame-Options "DENY" always;add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;add_header X-Content-Type-Options "nosniff" always;
漏掉 always 是 phpEnv 用户最常踩的坑，且不会报错，只是静默失效。
立即学习“PHP免费学习笔记（深入）”；
在 phpEnv 中修改 Nginx 配置文件的位置和写法
phpEnv 的站点配置文件路径为：C:\phpEnv\nginx\vhost\你的域名.conf（Windows 路径，注意反斜杠需转义或用正斜杠）。不要改全局 nginx.conf，避免影响其他 PHP 版本或站点。
推荐写在 location / 块内，或紧贴 root 指令之后：
location / {
root "C:/phpEnv/www/your-site";
index index.php;
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "DENY" always;
add_header X-XSS-Protection "1; mode=block" always;
add_header Referrer-Policy "no-referrer-when-downgrade" always;
}
注意：
- 每行
add_header后必须有分号，always必须写在值之后、分号之前 - 多个同名 header 会被最后一条覆盖（Nginx 不合并），不要在
http和server两级重复定义X-Frame-Options - 改完后必须在 phpEnv 主界面点击【重启 Nginx】，仅“重载”可能不生效（部分版本 reload 逻辑不完整）
验证 phpEnv 下的 Header 是否真生效
别只看 200 响应，重点验证 304：
- 先用浏览器访问一个静态资源（如
/style.css），F12 查看响应头，确认有X-Frame-Options等字段 - 再用
curl模拟协商缓存：curl -I -H "If-None-Match: \"abc123\"" http://localhost/style.css - 观察返回是否为
HTTP/1.1 304 Not Modified，且响应头中仍包含你配置的自定义头
若 304 中没有，检查三件事：
- 是否漏写
always - 是否被子
location（比如匹配.php的块）里的另一条add_header覆盖（Nginx 不继承，有则屏蔽上级） - phpEnv 是否启用了“强制 HTTPS”或“防盗链”插件，它们可能自带 header 冲突
复杂点在于：phpEnv 的 GUI 界面不提供可视化 Header 配置入口，所有安全头都得手写进 conf 文件；而 Windows 下路径空格、中文、反斜杠容易引发语法错误，建议用 Notepad++ 打开并开启“显示所有字符”模式核对空格与换行。
