header()必须在任何输出前调用，因HTTP协议要求响应头先于响应体发送；常见问题包括BOM、空格、包含文件末尾换行等，推荐将header()集中置于脚本顶部、省略结束标签、用headers_sent()调试。
header() 调用前不能有任何输出
PHP 的 header() 函数必须在任何实际输出（包括空格、换行、HTML、echo、print）之前调用，否则会报错 Warning: Cannot modify header information - headers already sent。这不是“顺序可改”的问题，而是底层 HTTP 协议限制：响应头必须在响应体之前发送。
常见触发点：
- PHP 文件开头有 UTF-8 BOM 字节（肉眼不可见，但会算作输出）
<?php前存在空格或空行- 包含的文件（如
include 'config.php';）末尾有多余换行或空格 - 开启
output_buffering可缓解但不治本——它只是把输出暂存，最终仍需保证header()在ob_flush()或脚本结束前调用
如何安全控制 header 发送时机
真正可控的是「逻辑上何时决定发什么头」，而非「绕过发送顺序限制」。推荐做法：
- 把所有
header()调用集中放在脚本最顶部（session_start()之后、任何echo之前） - 用变量暂存状态（如
$redirect_url、$status_code），最后统一发头：if ($need_redirect) { header("Location: $redirect_url"); exit; } - 避免在函数内、模板中、循环里零散调用
header()，容易遗漏前置输出 - 开发时开启
display_errors = On和error_reporting(E_ALL)，让“headers already sent”错误带出具体文件和行号
output_buffering 不是万能解药
虽然设置 output_buffering = On（或在脚本开头加 ob_start()）能让部分意外输出被缓冲，从而不立即冲毁 header，但它只改变输出时机，不改变语义顺序：
