必须在MySQL创建数据库时显式指定CHARACTER SET utf8mb4和COLLATE utf8mb4_unicode_ci，并在Laravel .env中同时配置DB_CHARSET、DB_COLLATION及DB_CONNECTION=mysql，否则中文、emoji会乱码或存储失败。
部署 Laravel 项目时，数据库字符集配置错误会导致中文乱码、emoji 存储失败或 WHERE 查询失效；Nginx 响应头缺失则可能引发 XSS 风险、跨域拦截或缓存策略失控——这两类配置不属可选优化，而是上线前必须验证的硬性前提。
MySQL 数据库创建时指定 utf8mb4 字符集
第一步：登录 MySQL，执行 CREATE DATABASE 命令时显式声明字符集与排序规则：
CREATE DATABASE myapp CHARACTER SET = utf8mb4 COLLATE = utf8mb4_unicode_ci;
这一步不能省略。若用 phpMyAdmin 或其他 GUI 工具新建库却未手动选择 utf8mb4，系统默认可能仍为 latin1 或 utf8（即 utf8mb3），后者无法存储 emoji 和部分生僻汉字。
第二步：确认新库实际生效的字符集：
SELECT DEFAULT_CHARACTER_SET_NAME, DEFAULT_COLLATION_NAME FROM INFORMATION_SCHEMA.SCHEMATA WHERE SCHEMA_NAME = 'myapp';
返回结果必须是 utf8mb4 和 utf8mb4_unicode_ci。任何其他值都说明上一步未生效，需删库重来。
Laravel .env 中强制启用 utf8mb4 连接参数
在 .env 文件中，仅设置 DB_CHARSET=utf8mb4 不足以保证连接层使用正确编码。
必须同时补全以下三行：
DB_CHARSET=utf8mb4
DB_COLLATION=utf8mb4_unicode_ci
DB_CONNECTION=mysql
【DB_CONNECTION=mysql 是关键前提】 若你误配为 sqlite 或 pgsql，前面两行将被完全忽略——Laravel 的 mysql 驱动才会读取这些参数。
修改后运行 php artisan config:clear 清除配置缓存，否则旧值仍生效。
Nginx 配置中添加安全响应头
方法一：基础防护头（直接写入 server 块）
add_header X-Frame-Options "DENY";
add_header X-Content-Type-Options "nosniff";
add_header X-XSS-Protection "1; mode=block";
这三行必须放在 server {} 内顶层位置，不可嵌套在 location / {} 中，否则对根路径以外的请求无效。
方法二：CSP 头（按需启用）
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'; img-src 'self' data:; font-src 'self';" always;
注意末尾的 always 标志——没有它，Nginx 默认只对 2xx/3xx 响应添加该头，而 404、500 页面将缺失 CSP，形成策略缺口。
修复 Nginx 返回 JSON 时的 Content-Type 缺失问题
步骤一：检查当前 Nginx 是否对 .json 文件返回 text/plain
curl -I https://yoursite.com/api/test.json
若看到 Content-Type: text/plain，说明 Nginx 未识别 json 扩展名。
步骤二：在 http {} 块（非 server）中添加 MIME 类型声明：
types {
application/json json;
}
这一步必须加在全局 http {} 区域，加在 server {} 或 location {} 内无效。漏掉会导致所有 JSON 接口响应头缺失，现代浏览器可能拒绝解析或触发 CORS 异常。
步骤三：重启 Nginx 使 MIME 类型生效：
sudo nginx -t && sudo systemctl reload nginx
