在PHP中，默认调用header()会覆盖同名响应头；若需发送多个WWW-Authenticate头（如同时支持Negotiate和NTLM），必须显式传入false作为第二个参数，以禁用覆写行为。
在php中，默认调用`header()`会覆盖同名响应头；若需发送多个`www-authenticate`头（如同时支持negotiate和ntlm），必须显式传入`false`作为第二个参数，以禁用覆写行为。
HTTP协议允许服务器在一次响应中返回多个同名的WWW-Authenticate头，用于提供多种认证机制供客户端协商选择（例如先尝试Kerberos/Negotiate，回退至NTLM）。但在PHP中，header()函数默认行为是替换而非追加同名头——这意味着连续调用：
header('WWW-Authenticate: Negotiate');
header('WWW-Authenticate: NTLM');将导致只有后者生效（Nginx/Apache等代理或浏览器最终仅收到NTLM头），因为第二次调用覆盖了第一次设置的头。
✅ 正确做法是：对第二次及后续同名头调用header()时，显式传入false作为第二个参数，表示“不替换，而是追加”：
header('WWW-Authenticate: Negotiate');
header('WWW-Authenticate: NTLM', false); // 关键：false 禁用覆写⚠️ 注意事项：
立即学习“PHP免费学习笔记（深入）”；
- false参数仅影响同名响应头的覆写行为，不影响其他头；
- 必须确保两次调用之间未发送任何输出（包括空格、BOM、echo/print），否则headers already sent错误将阻止头设置；
- 若使用FastCGI（如PHP-FPM + Nginx），还需确认Nginx未因安全策略过滤或合并重复头（默认不会，但某些自定义proxy_pass配置可能干预）；
- Apache模块（如mod_auth_kerb或mod_ntlm）通常不直接参与PHP生成的头，因此该方案完全由PHP层控制，兼容后端为Apache+PHP的架构。
? 补充建议：为提升可维护性，可封装为工具函数：
function addAuthHeader(string $scheme, bool $replace = true): void {
header("WWW-Authenticate: {$scheme}", $replace);
}
// 使用：
addAuthHeader('Negotiate');
addAuthHeader('NTLM', false);总结：多WWW-Authenticate头不是“不可用”，而是需主动规避PHP的默认覆写逻辑。一句false即可解锁标准HTTP协商能力，让前端浏览器按优先级自主选择认证方式。
