运行在Apache2上的WordPress站点出现重复HTTP响应头如何解决？

重复响应头问题解决方案 #

• 第一步确认Header指令语法：Apache的Header add指令会强制新增响应头实例，不管是否已有同名字段，全局配置中请统一替换为Header always set 指令，该指令会直接覆盖已有同名字段，从根源避免重复。如果要彻底清理残留头，可在所有Header规则前加对应unset规则，例如：

# 先清理已有字段
Header always unset X-Frame-Options
# 再设置新值
Header always set X-Frame-Options "DENY"

• 排查虚拟主机配置：Ubuntu 16.04的Apache站点级配置默认存放在/etc/apache2/sites-available/目录下的.conf文件中，检查对应站点的虚拟主机配置是否单独写入了响应头规则，该层级配置优先级高于全局apache2.conf，存在重复配置会导致多实例返回。
• 排查WordPress插件注入：多数WordPress安全类插件（如iThemes Security、WP Safeguard等）会通过PHP钩子自动注入安全响应头，即使删除header.php中的声明也会生效，可临时禁用所有安全类插件后复测响应头，定位到注入插件后关闭其响应头配置项即可。
• 排查上层代理/CDN配置：如果服务器前端部署了反向代理或CDN服务，可在服务器本地执行curl -I 你的站点域名命令直接测试Apache返回的响应头，如果本地测试无重复、公网访问有重复，说明是上层代理服务额外添加了响应头，修改代理配置即可。
• 确认mod_headers启用状态：通过apache2ctl -M | grep headers命令检查headers模块是否启用，配置apache2.conf响应头必须依赖该模块，如果此前误开启了模块，也需要同步检查站点目录下是否存在生效的.htaccess文件配置了响应头。

Apache2设置HTTP响应头最佳实践 #

• 优先在全局apache2.conf或站点虚拟主机配置中设置响应头，不推荐通过PHP代码（包括WordPress主题文件、插件）配置，PHP配置仅能覆盖动态请求的响应头，无法覆盖静态资源请求，且容易出现优先级冲突。
• 统一使用Header always set指令，非必要场景不使用Header add、Header append指令，避免出现多实例响应头。
• 关闭.htaccess文件解析，将AllowOverride参数设置为None，所有配置集中在服务端配置文件中，既可以提升Apache性能，也能避免分散配置导致的冲突，降低运维成本。
• 每次修改配置后先执行apache2ctl configtest检查配置语法正确性，确认无报错后再执行systemctl restart apache2重启服务，避免配置错误导致服务中断。
• 通用安全响应头建议在全局配置中统一设置，站点特殊需求可在对应虚拟主机的<VirtualHost>块中单独配置，该层级的配置会自动覆盖全局规则，不会产生冲突。

内容的提问来源于stack exchange，提问作者Meowmi