php - .htaccess header 被 Apache 忽略

Question

我有一个网站使用与许多其他网站相同的核心 .htaccess 细节；然而，该网站没有正确加载 .htaccess 指令——给出了一个基本的 HTTP header 集:

    HTTP/1.1 200 OK
    Date: Mon, 12 Nov 2018 09:34:28 GMT
    Server: Apache
    Keep-Alive: timeout=5, max=100
    Connection: Keep-Alive
    Transfer-Encoding: chunked
    Content-Type: text/html; charset=UTF-8

网站本身加载正常，但 .htaccess 中的附加 header 未被确认/加载。

所以 .htaccess 正在被读取，对吗？

是的 -- htaccess 文件包含 HTTPS 强制重定向和域名重定向(从 .co.uk 到 .com 地址(都到同一个网站帐户))

这些工作。

PHP 提供的 header 也可以正常加载

测试页面上的 PHP header 加载正常:

<?php
header("Cache-Control: no-cache, must-revalidate");
header('Content-Type: text/html; charset=utf-8');
header("X-Clacks-Overhead: GNU Terry Pratchett");
header("Content-Language: en");
header("X-XSS-Protection: 1; mode=block");
header("X-Frame-Options: SAMEORIGIN");
header("X-Content-Type-Options: nosniff");
?>

但是 .htaccess 中设置的相同 header 未被确认。

所以这是一个.htaccess语法错误!

不是我能看到；通常带有 .htaccess 错误 的站点加载 HTTP-500 错误消息，但是此处站点在浏览器中加载时没有问题。

当存在是故意的语法错误时，错误 500 HTTP 响应会按预期返回。

好的笨蛋，检查你的错误日志!

当然；我完全同意。 Apache 错误日志是空的!

您尝试过什么来解决这个问题？

• 确认httpd.conf允许读取.htaccess
• 确认mod_headers.c已加载到服务器上
• 注释掉并重写了各种规则，但没有效果
• 在 Stack Overflow 和 Server Fault 上阅读了大量(可能 6-8 篇)帖子- Stackoverflow 帖子似乎不相关或它们的问题有明显差异。
• 已确认我的 .htaccess 具有正确的权限 (0644)
• 告诉我的员工(他是一名平面设计师)。
• 自己哭着睡着了。

那么——把你的文件拿出来!让我看看魔法!

这里:

Options +FollowSymLinks
Options -Indexes
RewriteEngine On
ErrorDocument 404 /index.php?msg=404
ErrorDocument 403 /index.php?msg=403

#Set asset items to cache for 1 week.
<FilesMatch "\.(gif|jpe?g|png|ico|css|js|swf|mp3)$">
     Header set Cache-Control "max-age=1972800, public, must-revalidate"
</FilesMatch>

RewriteCond %{HTTPS} !=on
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

## This does not appear to work (for either)
#Header always set Strict-Transport-Security "max-age=31536000;" env=HTTPS
Header always set Strict-Transport-Security "max-age=31536000; includeSubdomains;" "expr=%{HTTPS} == 'on'"
Header set Expect-CT enforce,max-age=2592000

RewriteCond %{HTTP_HOST} ^(www\.)?thewebsite\.co\.uk$ [NC]
RewriteRule ^/?(.*)$ https://www.thewebsite.com%{REQUEST_URI} [R=301,L]

###
##### Seems to workdown to roughly this point.
###

#force requests to begin with a slash.
RewriteCond  %{REQUEST_URI}  !^$
RewriteCond  %{REQUEST_URI}  !^/
RewriteRule  .*              -    [R=403,L]

RewriteCond %{HTTP_HOST} !^$
RewriteCond %{HTTP_HOST} !^www\. [NC]
RewriteRule ^ https://www.%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

RewriteCond %{ENV:REDIRECT_STATUS} 200
RewriteRule .* - [L]

### This file does not exist on the directory at present. 
<Files .account-user.ini>
    order allow,deny
    deny from all
</Files>

###
#### None of these appear on assessment tools such as Security Headers 
#### Or redbot.
###
Header set Cache-Control no-cache,must-revalidate
Header set X-Clacks-Overhead "GNU Terry Pratchett"
Header set X-XSS-Protection 1;mode=block
Header set X-Content-Type-Options nosniff
Header always set X-Frame-Options SAMEORIGIN
Header set Expect-CT enforce,max-age=2592000
Header set Content-Language en
Header set Referrer-Policy origin-when-cross-origin
    
<LimitExcept GET POST HEAD>
    deny  from all
</LimitExcept>

最后，如果您能给我对以上所有内容的最终总结，那将真的很有帮助!

• .htaccess 中的 header 设置命令似乎不起作用。
• 所有 文件的部分在其他地方的其他实时网站上使用没有问题。
• 可以在 PHP 中毫无问题地设置 header
• .htaccess 中的这些 header 不会产生任何错误。
• header 似乎无声地失败。
• 没有记录 Apache 错误日志。
• .htaccess 正在被 Apache 读取，因为其他命令(例如 mod_Rewrite)正在采取行动

---

更新:

从其他方(托管服务提供商)的研究来看，.htaccess 似乎可以正常工作并为非 PHP 页面加载所有正确的 header 。

即使是普通的 PHP 页面；标题是空白的。

澄清

• whatever.html 页面加载 header 都正常。
• PHP 页面显示由 Header("..."); 设置的标题
• PHP 页面拒绝加载由 .htaccess 设置的任何 header 。这就是问题所在。

So it looks like my .htaccess can't set headers for PHP pages. How can I fix this?

Answer 1

PHP 在作为 FastCGI 模块工作时似乎忽略了 .htaccess 中定义的 header 。

有很多关于如何解决这个问题的建议。在你的情况下，我建议有一个定义所有标题的文件

<?php
// file headers.php
header('Cache-Control: no-cache,must-revalidate');
header('X-Clacks-Overhead: "GNU Terry Pratchett"');
header('X-XSS-Protection: 1;mode=block');
header('X-Content-Type-Options: nosniff');
header('X-Frame-Options: SAMEORIGIN');
header('Expect-CT: enforce,max-age=2592000');
header('Content-Language: en');
header('Referrer-Policy: origin-when-cross-origin');
?>

并将其保存到您的 DocumentRoot 目录中。然后将此条目添加到您的 .htaccess 文件以将其包含在每个请求中:

php_value auto_prepend_file /var/www/html/headers.php     

测试它:

<?php
// file test.php
die("hello world");
?>

并且正在发送 header :

$ curl -I ubuntu-server.lan/test.php
HTTP/1.1 200 OK
Date: Sun, 25 Nov 2018 09:37:52 GMT
Server: Apache/2.4.18 (Ubuntu)
Cache-Control: no-cache,must-revalidate
X-Clacks-Overhead: "GNU Terry Pratchett"
X-XSS-Protection: 1;mode=block
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Expect-CT: enforce,max-age=2592000
Content-Language: en
Referrer-Policy: origin-when-cross-origin
Content-Type: text/html; charset=UTF-8

请始终记住，当您在 .htaccess 中更改 header 时，也会在 headers.php 中更改它们。

希望这对您有所帮助!

---

➥ 之前的回答

我认为这个问题是由于 httpd/apache2 headers_module 没有被正确加载造成的(尽管您在上述评论之一中另有说明)。您可以通过在终端中执行此命令来检查这一点:

apachectl -M | grep headers_module

如果你没有得到输出 headers_module (shared)(或类似的)，那么你必须激活 httpd/apache2 headers 模块。在 CentOS 系统上，您必须在配置中加载相应的源文件(默认 /etc/httpd/conf/httpd.conf)。

你必须添加这一行

LoadModule headers_module /usr/lib/apache2/modules/mod_headers.so

然后用 sudo systemctl restart httpd.service 重启 http 服务器

对于 EasyApache 4，httpd/apache2 模块所在的文件夹可能会有所不同，并且是 /usr/lib64/apache2/modules/。

希望对您有所帮助!