在header信息中隐藏php信息

沈二铺子 2012-02-26 23:14:01 累计浏览 2,091 次

本机暂存

标签 PHP PHP-FPM php.ini

内容概览

这篇讲的是许多PHP网站默认会在响应头中暴露版本信息，比如`X-Powered-By: PHP/5.3.3`，这会带来不容忽视的安全风险。问题的根源在于PHP的默认配置，而隐患在于，这相当于向潜在攻击者“亮了底牌”，尤其是当使用存在已知漏洞的旧版本时。黑客可以利用这些公开信息进行批量扫描和针对性攻击，例如利用曾经流行的hash冲突漏洞入侵服务器。

解决方案并不复杂，只需在配置文件中调整一行设置或修改代码，就能移除这个头信息，让服务器在“隐蔽模式”下运行。文章的核心价值在于，它指出了一个常被开发者忽视的配置细节，并强调了这种主动的信息隐藏是构建纵深防御体系中简单而有效的一环。通过这样一个小调整，可以显著增加攻击者收集情报的难度，提升网站的基础安全水位。

在php渲染的网页header信息中，会包含php的版本号信息，比如: X-Powered-by: php/5.3.3，这有些不安全，有些黑客可能采用扫描的方式，批量寻找低版本的php服务器，利用php漏洞(比如最近流行的hash冲突)来攻击服务器。

php.ini中有一个选项可以控制是否暴露这个信息，那就是：

expose_php = On

默认值是On，改成Off之后，就不会显示php版本信息啦。

或者在php-fpm的pool配置文件中设置：

php_admin_flag[expose_php] = off

同分类推荐文章

等了十年的 Go 链式管道，终于来了：seq 让你像写 Scala 一样写 Go （2026-06-25 18:38:18）
Go 实验特性详解（2026-06-21 10:05:27）
amd64 微架构级别对 Go 程序性能提升多少？（2026-06-21 09:38:49）

查看更多后端文章 →

建议继续学习

使用gettext来支持PHP的多语言（累计阅读 39,270）
WordPress插件开发 -- 在插件使用数据库存储数据（累计阅读 29,164）
Paypal接口详细代码(PHP版，非API接口) （累计阅读 19,408）
我的PHP，Python和Ruby之路（累计阅读 13,149）
include(“./file.php”)和include(“file.php”)区别（累计阅读 12,790）
15个最好的免费开源电子商务平台（累计阅读 12,541）
Redis消息队列的若干实现方式（累计阅读 12,088）
到底什么是MVC？（累计阅读 11,868）
整理了一份招PHP高级工程师的面试题（累计阅读 11,709）
Rolling cURL: PHP并发最佳实践（累计阅读 11,488）