最稳妥推荐方式是在虚拟主机配置块中单独设置安全头：Nginx用add_header ... always置于server块，Apache用<IfModule mod_headers.c>内Header always set置于VirtualHost块，确保覆盖所有响应状态码并适配站点实际HTTPS与业务需求。
直接在对应虚拟主机的配置块里写 add_header（nginx）或 header set（apache），是为特定站点添加自定义安全响应头最稳妥、最推荐的方式。全局配置容易误伤，而每个站点独立设置才能精准匹配其 https 状态、子域策略和业务逻辑。
在 Nginx 虚拟主机中单独配置
每个 server 块代表一个域名站点，安全头必须放在这里，而不是 http 块顶层：
- 确保使用
always参数，例如：add_header X-Content-Type-Options "nosniff" always;
否则 301/404/500 等非 2xx 响应不会携带该头 - HSTS 必须按站点实际 HTTPS 可用性启用：
主站example.com启用了includeSubDomains，就不要在blog.example.com的server块里重复加——它已被强制覆盖；若子站是独立证书或 CDN 接入，需先确认其 HTTPS 稳定可用再启用 - CSP 策略不能“一刀切”，应根据该站点是否加载外部字体、脚本、iframe 等动态调整，例如：
add_header Content-Security-Policy "default-src 'self'; script-src 'self' https://cdn.example.com;" always;
在 Apache 虚拟主机中单独配置
把安全头写进 <VirtualHost> 块内，并包裹在 <IfModule mod_headers.c> 中，确保模块已启用：
- 检查是否加载了
mod_headers：
Debian/Ubuntu 执行a2enmod headers；RHEL/CentOS 确认httpd.conf中LoadModule headers_module modules/mod_headers.so未被注释 - 推荐写法（作用于全部响应，含重定向和错误页）：
<IfModule mod_headers.c><br> Header always set X-Frame-Options "DENY"<br> Header always set Referrer-Policy "strict-origin-when-cross-origin"<br> Header always set Permissions-Policy "geolocation=(), microphone=(), camera=()"<br></IfModule>
- 避免在
.htaccess中设关键安全头——它只对 Apache 的文件服务路径生效，不覆盖 PHP 或反向代理返回的响应
宝塔面板用户快速操作路径
无需手改配置文件，图形界面即可完成：
- 进入【网站】→ 点击目标站点【设置】→【配置文件】选项卡
- Nginx 环境：在
location /区块内或server块末尾粘贴add_header ... always;指令 - Apache 环境：在配置文件末尾
<IfModule mod_headers.c>内添加Header always set ... - 保存后务必点击【重载配置】，不是仅保存文件
验证是否生效
别依赖浏览器开发者工具的“Network”标签页简单查看，要重点确认两点：
- 用
curl -I https://your-site.com查看原始响应头，确认字段存在且值正确 - 特别测试非 200 响应，比如访问一个不存在的路径：
curl -I https://your-site.com/404test，验证带always的头是否依然出现 - 用 securityheaders.com 扫描，它会指出缺失项、格式错误或策略冲突（如 HSTS 与 HTTP 混用）
