php 默认会覆盖同名 http 响应头，若需发送多个 www-authenticate 头（如同时支持 negotiate 和 ntlm 认证），必须显式禁用头覆盖行为，即调用 header() 时传入 false 作为第二个参数。
php 默认会覆盖同名 http 响应头，若需发送多个 www-authenticate 头（如同时支持 negotiate 和 ntlm 认证），必须显式禁用头覆盖行为，即调用 header() 时传入 false 作为第二个参数。
在实现多方案 HTTP 认证（例如 Windows 集成认证）时，服务器常需提供多个 WWW-Authenticate 响应头，以兼容不同客户端能力。例如：
// ✅ 正确：先发送 Negotiate，再追加 NTLM（不覆盖）
header('WWW-Authenticate: Negotiate');
header('WWW-Authenticate: NTLM', false); // 关键：false 表示不替换，而是追加
http_response_code(401);
exit;⚠️ 注意事项：
- 若省略第二个参数或设为 true（默认值），PHP 将覆盖前一个同名响应头，导致浏览器仅收到最后一个（如仅 NTLM），无法触发协商式回退流程；
- header() 必须在任何输出（包括空白字符、BOM、echo/print）之前调用，否则会触发“headers already sent”错误；
- Nginx 作为反向代理时，默认透传后端响应头，但需确保未启用 proxy_hide_header WWW-Authenticate 等拦截配置；
- Apache + PHP 环境下，还需确认 mod_headers 未意外修改或过滤该头字段。
✅ 最佳实践建议：
- 总是显式使用 header($header, false) 发送后续同名头；
- 按客户端兼容性优先级排序（通常 Negotiate 在前，NTLM 在后）；
- 使用浏览器开发者工具的 Network 面板验证响应头是否完整送达（查看 Raw Headers 或 Response Headers）；
- 对于现代应用，推荐优先采用 Negotiate（Kerberos/SPNEGO），NTLM 仅作为降级备选。
通过正确使用 header() 的追加模式，即可让前端浏览器按标准 HTTP 协议解析多个认证方案，并自主选择最优机制完成身份验证。
立即学习“PHP免费学习笔记（深入）”；
