Apache 2.2.31中.htaccess配置的Header在PHP请求时重复发送问题

我之前在Apache 2.2环境下碰到过一模一样的问题，当时折腾了好一阵才找到方向。结合你的情况，给你几个可以让服务商排查的思路，毕竟你没法碰核心配置：

• 检查PHP的运行模式：Apache 2.2里如果PHP是用mod_php模块加载的，很容易和mod_headers的执行逻辑冲突。mod_php会在请求处理的早期就介入，而Header always set指令会在整个请求生命周期（包括错误处理阶段）都生效，这就导致PHP请求被两次添加HSTS头。你可以让服务商确认下PHP是用mod_php还是FastCGI（比如FCGI/FPM）模式跑的，FastCGI模式下这种重复问题概率会低很多。

• 排查是否有多层配置叠加：虽然你自己没加其他重写/重定向规则，但服务商的核心配置或者上级目录的.htaccess里，可能已经有针对PHP文件的Header配置了。比如核心配置里已经全局设置了HSTS头，你在自己的.htaccess里又加了一次，就会导致重复。让服务商检查下服务器级、虚拟主机级的配置，以及上级目录的.htaccess文件。

• 试试折中配置方案：如果你既需要错误页能发送HSTS头，又不想出现重复，可以尝试把指令改成：

  Header append Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" env=HTTPS
  

  这里用append替代always set，同时通过env=HTTPS限定只在HTTPS请求下生效。不过要确认服务器是否正确设置了HTTPS环境变量，这个需要服务商帮忙验证。append在Apache 2.2里会合并相同的头字段，不会直接重复，你可以先测试下这个配置是否满足需求。

• 排查Apache版本的已知bug：Apache 2.2.31确实存在一些和mod_headers相关的老问题，尤其是和PHP模块配合使用时的冲突。你可以让服务商检查下是否有针对该版本的官方补丁，或者是否能考虑升级到更稳定的2.4系列（当然升级可能涉及兼容性评估，得服务商来判断）。

这些都是我当时排查类似问题的方向，你整理后发给服务商，应该能帮他们快速定位问题。

内容的提问来源于stack exchange，提问作者user9213758