X-XSS-Protection 已失效，现代 PHP 项目应弃用，改用 CSP 为主防线；需正确配置 header 顺序与时机，配合 nonce、report-only 模式及 X-Content-Type-Options 等辅助头。
X-XSS-Protection 已失效，别再用它当防线——现代 PHP 项目里加 header('X-XSS-Protection: 1; mode=block') 不仅没实际防护效果，还可能干扰 CSP 策略、掩盖真正漏洞。2026 年主流浏览器（Chrome、Edge、Firefox）已完全忽略该头，IE 系列也早已退出支持。它的存在只剩兼容极少数老旧内网 IE11 场景，且即便启用，mode=block 之外的写法（如只写 1）会退化为“修复后继续执行”，反而制造半修复漏洞。
Content-Security-Policy 是 XSS 防护的核心手段
输出转义（htmlspecialchars()）只能防模板层注入，CSP 才是最后一道执行级防线。它不依赖用户输入过滤质量，而是由浏览器强制拦截非法脚本加载与执行。
-
default-src 'self'是起点，但必须按需放宽：比如用了 CDN 加载 JS，就得加script-src 'self' cdn.example.com -
'unsafe-inline'和'unsafe-eval'是临时妥协，不是长期方案；上线前应改用nonce或sha256-xxx哈希白名单 - 开发阶段先用
Content-Security-Policy-Report-Only收集违规日志，避免直接上线导致功能断裂 - PHP 中生成 nonce 示例：
$nonce = base64_encode(random_bytes(16));，再同时注入到header()和<script nonce="<?php echo $nonce; ?>">
其他关键安全头不能漏，但要注意顺序和条件
这些头虽不如 CSP 关键，但各自解决特定攻击面，缺一不可。全部必须在任何输出（含空格、BOM、echo）前调用 header()，否则静默失效或报 Cannot modify header information 警告。
-
X-Content-Type-Options: nosniff：阻止浏览器“猜 MIME 类型”，防止.jpg文件被当成text/html执行 JS —— 对上传目录尤其重要 -
X-Frame-Options: SAMEORIGIN或DENY：防点击劫持；若用 CSP，可改用frame-ancestors 'self'（更现代，且支持多个源） -
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload：仅在 HTTPS 环境下设置，否则会被浏览器丢弃；preload需手动提交至 HSTS Preload List 才生效 -
X-Download-Options: noopen（IE/Edge 专用）和X-Permitted-Cross-Domain-Policies: none（Flash 已淘汰，可省）已无实际必要
header() 调用位置和框架适配最容易踩坑
手写 PHP 时，header() 放错位置是高频错误；用框架时硬塞 header() 到视图里，会导致响应构造混乱、中间件覆盖失效。
立即学习“PHP免费学习笔记（深入）”；
- 纯 PHP 脚本：确保所有
header()在<?php开始后、任何echo/print/HTML 输出前执行；可用headers_sent()检查 - Laravel：在中间件中用
response()->header()或修改App\Http\Kernel的全局中间件栈 - Symfony：通过
Response::headers->set()或配置security.yaml中的headers项 - 若使用 Nginx/Apache，也可在服务器配置中统一加头（更稳定），但 PHP 层仍建议保留 fallback
真正难的不是写对那几行 header()，而是理解每条策略背后的攻击模型——比如 nosniff 防的是 MIME 嗅探绕过，frame-ancestors 防的是 UI 重利用，而 CSP 的 script-src 白名单本质是在对抗“任意代码执行”这个终极目标。漏掉任一环，都可能让前面所有努力归零。
