最稳妥方式是在每个HTTPS的server块内添加add_header ... always;。需紧贴SSL配置，确保HSTS、CSP等头对所有状态码生效，并按站点实际需求启用includeSubDomains和CSP源策略。
直接在对应 HTTPS 的 server 块里写 add_header ... always;，是最稳妥、最推荐的方式。
全局配置容易误伤其他站点，而每个 HTTPS 站点独立设置，才能精准匹配其证书状态、子域策略和资源加载实际需求。
必须放在 server 块内，不能放 http 块顶层
Nginx 中每个 `server` 块代表一个域名（或一组域名），安全头要和该站点的 `listen 443 ssl` 配置共存于同一块中。例如：server {
listen 443 ssl;
server_name example.com;
ssl_certificate /path/to/cert.pem;
ssl_certificate_key /path/to/key.pem;
# ✅ 正确位置：紧贴 SSL 配置下方或 location 外任意处
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "DENY" always;
add_header X-XSS-Protection "1; mode=block" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
}如果写在 http { ... } 最外层，所有站点都会继承，可能让 HTTP 站点也带上 HSTS，或让子站因 CSP 过严而白屏。
务必加上 always 参数
默认情况下，`add_header` 只对 2xx 成功响应生效。但重定向（301/302）、错误页（404/500）同样需要安全头防护。- ❌
add_header Strict-Transport-Security "max-age=31536000";
→ 404 页面不带 HSTS，浏览器不会记住强制 HTTPS - ✅
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
→ 所有响应状态都携带，真正生效
HSTS 和 CSP 要按站点实际启用
- HSTS 的 `includeSubDomains` 有强绑定性：主站 `example.com` 启用了，子站 `blog.example.com` 就自动被覆盖。若子站是独立 CDN 或证书，需单独验证 HTTPS 可用后再加，否则会锁死非 HTTPS 访问。 - CSP 不能“抄模板”： - 如果站点用 Google Fonts，就得加 `font-src fonts.gstatic.com;` - 如果嵌了 YouTube iframe，就得加 `frame-src youtube.com;` - 初次上线建议先用 `Content-Security-Policy-Report-Only` 模式观察两周，再切为正式拦截。宝塔用户可免手改配置
进入【网站】→ 点击目标站点【设置】→【配置文件】选项卡： - Nginx 环境：在 `server` 块内、`location /` 上方或下方粘贴 `add_header ... always;` - 保存后点【重载配置】即可生效，无需重启 Nginx不复杂但容易忽略。
