不能用headers-more伪造server全路径，因nginx内核自1.19.7起严格禁止more_set_headers等指令覆写server头，该指令会被静默忽略；server_tokens off仅能隐藏版本号，无法删除或替换“nginx”标识。
直接使用 Nginx 的 headers_more 模块无法“动态重写响应头伪装 Web 服务器全路径”，因为该模块不支持基于请求路径或变量动态构造完整 Server 头值，且 Server 响应头本身受 Nginx 内核严格限制——它默认由 server_tokens 控制显隐，但**不允许被 more_set_headers 或类似指令覆盖**（Nginx 1.19.7+ 仍禁止覆写 Server）。
为什么不能用 headers_more 伪造 Server 全路径？
headers_more 模块（如 more_set_headers）可设置任意自定义响应头（如 X-Powered-By），但对关键安全敏感头（Server、Date、Content-Length 等）默认被 Nginx 内核屏蔽修改。即使编译时启用 --with-http_headers_more_module，尝试：
more_set_headers "Server: Apache/2.4.52 (Ubuntu)";
也不会生效——Nginx 会静默忽略该指令，实际响应中仍显示原 Server 值（或空，若 server_tokens off）。
可行的替代方案：隐藏 + 伪造其他可信头
虽然不能篡改 Server，但可通过组合手段达成“弱伪装”效果，降低指纹识别准确率：
-
彻底隐藏原始 Server：在 http 或 server 块中设置
server_tokens off;，使响应中不输出 Server 头（或仅显示 “nginx”） -
添加高仿 HTTP 头误导扫描器：用
more_set_headers注入 Apache/Tomcat 风格的非关键头，例如：more_set_headers "X-Powered-By: PHP/8.1.2";<br>more_set_headers "X-Backend-Server: apache-web01.internal";<br>more_set_headers "X-Application-Name: legacy-cms";
-
利用 map 动态生成头值（有限动态）：结合
map指令按请求路径、Host 或 UA 设置变量，再注入到自定义头中：map $request_uri $fake_server_hint {<br> ~^/wp-admin/ "WordPress-Apache";<br> ~^/api/v2/ "Express-NodeJS";<br> default "Nginx-Proxy";<br>}<br>more_set_headers "X-Server-Fingerprint: $fake_server_hint";
真正需要伪装 Server 的场景怎么办？
若必须完全控制 Server 值（如合规审计硬性要求），唯一可靠方式是：
-
修改 Nginx 源码并重新编译：定位
src/http/ngx_http_header_filter_module.c中的ngx_http_header_filter函数，注释或替换Server头写入逻辑（风险高，升级困难） - 前置一层反向代理（推荐）：在 Nginx 前部署 Envoy / Traefik / Caddy，由它们生成并控制 Server 头；Nginx 退为纯内容服务层，不暴露 Server
-
用 Lua 脚本（OpenResty）强行覆盖（不推荐）：OpenResty 的
header_filter_by_lua*可操作响应头，但绕过内核限制属未定义行为，可能引发 header 乱序、缓存失效等问题
安全提醒：伪装 ≠ 安全
删除或伪造 Server 头仅能干扰自动化扫描器，对真实攻击者无效。真正的加固应聚焦于：
– 及时更新 Nginx 和后端服务版本
– 关闭不必要的模块（如 autoindex、status）
– 使用 WAF 过滤恶意请求
– 配置严格 CSP 和安全头（Strict-Transport-Security、X-Content-Type-Options）
