在Apache HTTPS虚拟主机中添加自定义响应头需启用mod_headers模块，并在<VirtualHost *:443>内使用Header always set指令设置HSTS、X-Frame-Options等安全头，配置后需语法验证并重载服务。

在 Apache 中为 HTTPS 虚拟主机添加自定义页头（即 HTTP 响应头，如 X-Frame-Options、Strict-Transport-Security、X-Content-Type-Options 等），需在对应 <VirtualHost> 配置块内使用 Header 指令。前提是 mod_headers 模块已启用（绝大多数标准 Apache 安装默认开启）。

✅ 确认 mod_headers 已加载

检查主配置中是否包含：

LoadModule headers_module modules/mod_headers.so

若使用 httpd -M | grep headers 命令无输出，需手动启用并重启服务。

---

? 在 HTTPS 虚拟主机中添加自定义响应头

假设你已有正常工作的 HTTPS 虚拟主机（监听 443 端口，启用了 SSLEngine on），只需在 <VirtualHost *:443> 内添加 Header set 或 Header always set 指令：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

<VirtualHost *:443>
    ServerName example.com
    DocumentRoot "/var/www/example"

    SSLEngine on
    SSLCertificateFile /etc/ssl/certs/example.com.crt
    SSLCertificateKeyFile /etc/ssl/private/example.com.key

    # 启用响应头设置（关键：必须放在 SSL 配置之后）
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
    Header always set X-Frame-Options "DENY"
    Header always set X-Content-Type-Options "nosniff"
    Header always set Referrer-Policy "no-referrer-when-downgrade"
    Header always set Permissions-Policy "geolocation=(), microphone=(), camera=()"

    <Directory "/var/www/example">
        Require all granted
        AllowOverride None
    </Directory>
</VirtualHost>

⚠️ 注意：

• 使用 Header always set 可确保即使返回 3xx/4xx/5xx 状态码时头也生效；仅用 Header set 则只对 2xx 响应生效。
• 所有 Header 指令必须放在 <VirtualHost> 内，且在 <Directory> 之前或之后均可，但不能在 <Location> 或 .htaccess 中用于 HTTPS 重定向场景（因可能被覆盖）。
• 修改后需执行 apachectl configtest 验证语法，再 systemctl reload httpd 生效。

---

? 验证是否生效

访问站点后，在浏览器开发者工具 → Network → 任意请求 → Response Headers 中查看是否出现你设置的头字段。也可用命令行快速验证：

curl -I https://example.com

输出中应包含类似：

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload
X-Frame-Options: DENY

---

? 补充建议

• 若需为特定路径（如 /api/）设置不同头，可用 <Location "/api"> 包裹 Header 指令。
• 不推荐在 .htaccess 中设安全头——既影响性能，又可能因未启用 AllowOverride All 而失效。
• HSTS 头一旦发送，浏览器将强制后续所有请求走 HTTPS（含子域），上线前请确认证书和配置稳定。

不复杂但容易忽略的是：头指令位置和 always 修饰符的选择。