添加Access-Control-Allow-Origin代码未生效，求助配置网站安全头

• 确认mod_headers模块已启用
  Apache的headers模块是配置安全头的核心依赖，执行以下命令启用模块：
  a2enmod headers
  启用后重启Apache服务：
  systemctl restart apache2
  可通过以下命令验证模块是否成功加载：
  apache2ctl -M | grep headers
  输出显示headers_module (shared)即为启用成功。

• 验证配置文件语法
  添加安全头配置后，先检查语法是否正确，避免因语法错误导致配置失效：
  apache2ctl configtest
  只有输出Syntax OK时再重启服务器，否则根据提示修复语法问题。

• 理清配置优先级与作用范围

  • 不要同时在/etc/apache2/apache2.conf和.htaccess中重复配置，建议统一在apache2.conf的网站目录<Directory>段内添加，确保配置作用到目标站点：

    <Directory /var/www/your-site-directory/>
        # 安全头配置示例，按需调整参数
        Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
        Header always set X-Frame-Options "DENY"
        Header always set X-Content-Type-Options "nosniff"
        Header always set Referrer-Policy "strict-origin-when-cross-origin"
        Header always set Permissions-Policy "geolocation=(), microphone=(), camera=()"
        # Content-Security-Policy需根据站点实际资源加载情况调整，避免功能异常
        Header always set Content-Security-Policy "default-src 'self'; script-src 'self'; style-src 'self'"
    </Directory>
    

  • 若使用.htaccess配置，需确保站点对应的<Directory>配置中AllowOverride设置为All或FileInfo，否则.htaccess的配置会被Apache忽略：

    <Directory /var/www/your-site-directory/>
        AllowOverride All
    </Directory>
    

• 绕过缓存验证实际响应头
  浏览器或扫描工具可能缓存旧的响应头，可通过curl命令直接获取服务器返回的响应头，确认配置是否生效：
  curl -I https://your-domain.com
  查看输出内容，检查是否包含你配置的所有安全头字段。

• 排查代理/CDN的干扰
  若站点使用了CDN或反向代理服务，这类服务可能会修改或覆盖服务器设置的响应头。需要在代理/CDN平台的配置面板中添加安全头，或者配置代理服务透传服务器的响应头。

内容的提问来源于stack exchange，提问作者Naren Verma