在.htaccess中配置HSTS Header后未生效，求排查解决方法

一、修正.htaccess配置的兼容性问题 #

你当前使用的<if>指令在部分Apache版本中可能存在解析或兼容性问题，建议改用更可靠的环境变量判断方式输出HSTS头，替换原HSTS配置段为：

Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" env=HTTPS

env=HTTPS会自动仅在HTTPS请求时发送该头，避免因版本或模块支持问题导致头不输出。

二、确认.htaccess是否被正确加载 #

• 检查Apache虚拟主机配置的<Directory>块，确保设置了AllowOverride All（至少为AllowOverride FileInfo，因为Rewrite、Header指令属于FileInfo范畴）。若AllowOverride设为None，.htaccess内所有规则都不会生效。
• 可临时在.htaccess添加测试规则（比如跳转至不存在的路径），验证文件是否被服务器读取。

三、调整跳转顺序避免头丢失 #

现有配置先强制HTTPS再跳转WWW，两次301跳转可能导致HSTS头在中间过程丢失。调整顺序为先处理WWW跳转，再强制HTTPS：

# 先统一WWW域名（兼容HTTP/HTTPS请求）
RewriteCond %{HTTP_HOST} !^www\.
RewriteRule ^(.*)$ https://www.%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

# 再强制HTTPS
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

# HSTS设置
Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" env=HTTPS

确保最终的HTTPS页面直接返回HSTS头，避免跳转过程中头丢失。

四、排查浏览器缓存与预加载时效 #

• 若之前访问过HTTP版本，浏览器可能缓存旧响应头。在Chrome开发者工具中勾选「Disable cache」后刷新页面，查看Network面板的响应头是否包含Strict-Transport-Security。
• 预加载列表生效需要数周时间，提交至预加载网站后，需等待浏览器版本收录，在此之前HSTS仅靠服务器返回的头生效。

五、排查服务器端的头拦截或覆盖 #

• 检查Apache主配置、虚拟主机配置中是否存在Header unset Strict-Transport-Security之类的规则，避免覆盖.htaccess的设置。
• 若使用CDN/反向代理，需确认CDN是否允许传递HSTS头，部分CDN会默认过滤响应头，需在后台手动开启转发或直接配置HSTS。
• PHP设置头无效时，检查文件开头是否有多余空格、BOM头导致输出提前，可使用headers_sent()函数检测头是否已被发送。

六、用命令行工具直接验证 #

使用curl命令直接请求HTTPS页面，查看响应头是否包含HSTS：

curl -I https://www.yourdomain.com

若返回头存在Strict-Transport-Security，说明服务器配置正常，问题出在浏览器/测试工具缓存；若不存在，需重新排查服务器配置。

内容的提问来源于stack exchange，提问作者Paul Masclef