如何隐藏phpMyAdmin的版本号信息以减少黑客攻击线索？-phpMyAdmin-PHP中文网

只设$cfg['ShowVersion']=false不够，因响应头X-Powered-By由Response.php硬编码发送，需注释该行并同步关闭ShowPhpInfo、expose_php及Web服务器banner。

直接改 config.inc.php 并不能真正隐藏 phpMyAdmin 版本号——它只控制前端页面是否显示，而真实的风险来自响应头、API 接口、错误页甚至 PHP 自身输出。必须多层拦截，否则攻击者用 curl -I 一眼就能看到 X-Powered-By: phpMyAdmin 5.2.1。

为什么只设 `$cfg['ShowVersion'] = false` 不够

这个配置仅让登录页和顶部栏不渲染版本文字，但以下位置仍会暴露：

HTTP 响应头中硬编码的 X-Powered-By（由 libraries/classes/Response.php 主动发送）
未登录时的 401 错误页 HTML 源码里含 phpMyAdmin x.x.x
/phpmyadmin/js/messages.php 这类接口返回的 JSON 中带 "pma_version" 字段
若开了 $cfg['ShowPhpInfo'] = true，设置页能直接调出 phpinfo()，连 PHP 和 MySQL 版本全盘托出

必须修改 `Response.php` 屏蔽响应头

这是唯一能干掉 X-Powered-By 头的方式，fastcgi_hide_header X-Powered-By 在 phpMyAdmin 场景下经常失效，因为它的 header 是在 output buffering 后 flush 前发的，Nginx 来不及拦截。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

路径示例：/usr/share/phpmyadmin/libraries/classes/Response.php（Ubuntu）或 C:\xampp\phpMyAdmin\libraries\classes\Response.php（Windows）
搜索 X-Powered-By，定位到类似 header('X-Powered-By: phpMyAdmin ' . PMA_VERSION); 的行
直接注释或删除整行，保存后重启 PHP-FPM（不是 reload）
验证：运行 curl -I https://your.site/phpmyadmin/，确认响应头中不再出现 X-Powered-By

配套关闭其他暴露点

单点防护等于没防。以下三项必须同步做，缺一不可：

config.inc.php 中设 $cfg['ShowVersion'] = false; 和 $cfg['ShowPhpInfo'] = false; —— 防止页面内渲染
php.ini 中设 expose_php = Off 并重启 PHP-FPM —— 否则 X-Powered-By: PHP/8.1.2 依然存在
Web 服务器关 banner：nginx 加 server_tokens off;，Apache 加 ServerTokens Prod 和 ServerSignature Off