如何通过Nginx proxy_hide_header隐藏X-Powered-By防止技术栈泄露？

本文共计976个文字，预计阅读时间需要4分钟。

直接生效，但仅对+特定用户有效。

为什么 X-Powered-By 一定要隐藏

这个头是 PHP、Express、Spring Boot 等框架默认注入的“自报家门”字段，比如 X-Powered-By: PHP/8.2.12 或 X-Powered-By: Express。攻击者拿到它，就能精准匹配已知 CVE（如 CVE-2025-17342 针对某 Spring Boot 版本的 RCE），跳过通用扫描，直击弱点。

它不加密、不校验、不鉴权，纯文本暴露在每条响应里——哪怕你用了 HTTPS，也照漏不误。

• PHP 应用：可通过 expose_php = Off 在 php.ini 关闭，但若用 FastCGI，Nginx 层仍需加 fastcgi_hide_header X-Powered-By
• Java/Spring Boot：默认开启 server.additional-server-header 或通过 WebMvcConfigurer 注入，得改代码或配置，不能只靠 Nginx
• Node.js/Express：app.disable('x-powered-by') 是最干净的解法，Nginx 屏蔽只是兜底

proxy_hide_header X-Powered-By 的正确写法和位置

它不是全局开关，也不继承父块配置。写错位置就等于没写。