PHP如何隐藏版本号和错误信息_PHP避坑指南【部署】-php教程-PHP中文网

生产环境必须关闭 expose_php = Off 和 display_errors = Off；通过 curl -I 检查响应头 X-Powered-By 字段确认版本号是否泄露，修改 php.ini 后需重启 Web 服务，并在 Apache/Nginx 中额外清除 Server 和 X-Powered-By 响应头。

php如何隐藏版本号和错误信息_php避坑指南【部署】

PHP版本号和错误信息一旦暴露在HTTP响应头或页面中，攻击者就能直接锁定已知漏洞版本、构造针对性Payload。生产环境必须关掉这两项——expose_php = Off 和 display_errors = Off 是底线，缺一不可。

如何确认 PHP 正在泄露版本号

用 curl 或浏览器开发者工具抓一个正常 PHP 页面的响应头，重点看有没有 X-Powered-By 字段：

curl -I https://yoursite.com/index.php

如果返回里含 X-Powered-By: PHP/8.2.12，说明 expose_php 还开着。这不是“可选优化”，是基础安全红线。

expose_php = On 是默认值，不改就一定暴露
即使关了 expose_php，某些 Nginx/Apache 配置、CDN 或中间件仍可能手动加回 X-Powered-By，得额外清理
PHP 命令行下的 php -v 输出不受此控制，但 HTTP 层必须切断

修改 php.ini 关闭版本号和错误显示

找到正在生效的 php.ini 文件（运行 php --ini 或 phpinfo() 查路径），编辑以下两项：

把 expose_php = On 改成 expose_php = Off
把 display_errors = On 改成 display_errors = Off
顺手检查 error_reporting，生产环境建议设为 error_reporting = E_ALL & ~E_DEPRECATED & ~E_STRICT，避免漏报关键错误但又不过度暴露

改完必须重启 Web 服务（systemctl restart apache2 或 systemctl restart php8.2-fpm nginx），否则配置不生效。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

Apache/Nginx 还要额外清理响应头

仅改 php.ini 不够。Apache 可能通过 Server 头泄露 Apache 版本，Nginx 默认也带 Server: nginx/1.18.0；有些框架或模块还会自己塞 X-Powered-By。

Apache：在 httpd.conf 或虚拟主机配置里加两行：
ServerTokens Prod
ServerSignature Off
Nginx：在 server 块里加：
server_tokens off;
通用清除头（推荐）：
Apache 启用 mod_headers 后加 Header unset X-Powered-By
Nginx 加 fastcgi_hide_header X-Powered-By;