Эта проблема возникла у меня с XAMPP 7 и opencart Arabic 3. Замена localhost на фактическое имя машины решает проблему.
Если Вы будете следовать за подходом xml, то ниже кода будет работать.
<security:headers>
<security:frame-options />
<security:cache-control />
<security:content-type-options />
<security:xss-protection />
</security:headers>
<security:http>