如何在Nginx反向代理phpMyAdmin时隐藏Server头？-phpMyAdmin-PHP中文网

Nginx默认暴露Server头会泄露版本信息，为攻击者提供指纹，可能结合phpMyAdmin的PHP版本形成组合漏洞利用路径；需通过server_tokens off、proxy_hide_header Server及headers-more模块协同隐藏。

如何在nginx反向代理phpmyadmin时隐藏server头？

为什么 Nginx 默认暴露 Server 头对 phpMyAdmin 有风险

phpMyAdmin 是数据库管理界面，常暴露在公网或内网边界。Nginx 默认返回 Server: nginx/1.24.0 这类响应头，会泄露服务端技术栈和版本号，给攻击者提供指纹信息——比如已知某版本 Nginx 存在特定 CVE，配合 phpMyAdmin 的 PHP 版本，可能形成组合利用路径。隐藏它不是万能防护，但属于基础安全加固中成本最低、见效最快的一环。

直接修改 nginx.conf 的 server_tokens 指令

这是最常用也最有效的办法，作用于整个 Nginx 实例，影响所有虚拟主机（包括代理到 phpMyAdmin 的 location）。注意：它只控制 Server 响应头的值，不移除该 header 字段本身。

在 http 块或 server 块中添加：server_tokens off;
如果只想对 phpMyAdmin 路径生效，必须放在其所在的 server 块内（不能只放在 location 块里——server_tokens 不支持 location 级别）
重启后验证：curl -I http://your-domain/phpmyadmin/ 应看不到完整版本号，只显示 Server: nginx 或完全不显示（取决于 Nginx 版本与编译选项）

用 more_set_headers 移除或覆盖 Server 头（需安装 headers-more 模块）

原生 Nginx 不允许删除 Server 头，add_header Server ""; 无效。必须借助第三方模块 headers-more-nginx-module 才能真正清除或伪造。

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

确认已安装该模块（Ubuntu/Debian 可用 nginx-extras 包；CentOS 需手动编译或使用 OpenResty）
在 phpMyAdmin 对应的 location 块中添加：more_set_headers "Server: "; （空值可清空）或 more_set_headers "Server: web-server"; （伪造成其他服务）
注意：若同时启用了 server_tokens off;，再用 more_set_headers 覆盖更彻底；否则仅靠后者可能仍残留默认值
该方式比 server_tokens 更灵活，但引入了额外依赖，升级 Nginx 时容易因模块缺失导致启动失败

反向代理 phpMyAdmin 时，别忘了后端 PHP 的 Server 头

Nginx 只负责自己发出的响应头。如果 phpMyAdmin 运行在 Apache 或 PHP-FPM 自带的 fastcgi 服务器上，它们也可能输出自己的 Server 头——这会被 Nginx 默认透传，绕过所有前端配置。

检查原始响应：curl -H "Host: your-domain" http://127.0.0.1:8080/phpmyadmin/（直连后端端口），看是否仍有 Server: Apache 或 Server: PHP/8.2.12
若后端是 PHP-FPM + FCGI，通常无独立 Server 头；但若用了 Apache 或 Caddy 作后端，则需在后端配置中禁用（如 Apache 的 ServerSignature Off 和 ServerTokens Prod）
Nginx 作为反向代理时，可通过 proxy_hide_header Server; 主动屏蔽后端返回的 Server 头——这个指令必须放在 location 或 server 块中，且只对 proxy_pass 生效