禁用摄像头调用需配置Permissions-Policy: camera=()，核心是启用mod_headers模块、在中用Header always set正确注入，语法严格为英文括号内为空，且需验证响应头及navigator.permissions.query结果为denied。
在Apache中通过mod_headers配置Permissions-Policy禁用摄像头调用，核心是向HTTP响应头注入Permissions-Policy: camera=()，且必须确保模块启用、作用域正确、语法无误。
确认并启用mod_headers模块
Apache默认不启用该模块，配置会静默失效：
- Debian/Ubuntu系统执行：
a2enmod headers && systemctl reload apache2 - RHEL/CentOS或XAMPP用户，检查
httpd.conf中是否取消注释：LoadModule headers_module modules/mod_headers.so - 验证是否加载成功：
apachectl -M | grep headers应输出headers_module (shared)
在合适位置添加Header指令
把策略加在<virtualhost></virtualhost>块内最稳妥，避免被<directory></directory>等嵌套块限制：
- 推荐写法（全局生效）：
Header always set Permissions-Policy "camera=()" - 若需同时禁用多个权限，用分号分隔：
Header always set Permissions-Policy "camera=(); microphone=(); geolocation=()" - 不要用
Header set（不带always），否则404/500错误页不会携带该头，留下绕过风险
注意语法与兼容性细节
浏览器对Permissions-Policy解析严格，常见错误会导致整条策略被忽略：
立即学习“前端免费学习笔记（深入）”；
- 值必须是
camera=()，括号内为空，不能写成camera='none'或camera="self" - 引号使用英文双引号，中间不能有全角空格或多余换行
- 旧版Chrome支持
Feature-Policy（已废弃），如需兼容可额外加一行：Header always set Feature-Policy "camera 'none'" - 该头仅对当前域名及子资源生效；iframe内嵌第三方站点时，需对方自己配置，本策略无法跨域强制
验证是否真正生效
不能只看Apache重启成功，要实测响应头：
- 用
curl -I https://yoursite.com查看响应头，确认含Permissions-Policy: camera=() - 打开浏览器开发者工具 → Network → 刷新页面 → 点任意HTML或JS请求 → 查看Response Headers
- 在控制台运行
navigator.permissions.query({name:'camera'})，返回state: "denied"表示策略起效 - 若页面含
<iframe></iframe>，其allow属性（如allow="camera"）优先级高于响应头，需一并检查
