apache环境下需在php.ini中设expose_php = Off并重启服务，nginx+PHP-FPM需同时配置fastcgi_hide_header X-Powered-By和expose_php = Off；express用app.disable(‘x-powered-by’)；spring Boot可通过过滤器设response.setHeader(“X-Powered-By”, ” “)。
Apache 怎么删掉 X-Powered-By 响应头
Apache 默认不会发 X-Powered-By，但如果你用 PHP，它会通过 mod_php 自动加上（比如 X-Powered-By: PHP/8.1.27）。要关掉，得在 PHP 层下手，不是 Apache 配置里加 Header unset 就完事——那只能压住一次，PHP 后续响应还可能再塞进去。
实操建议：
- 在
php.ini里设expose_php = Off（必须重启 PHP-FPM 或 Apache 才生效） - 如果用的是
php-fpm，这个配置得写在全局php.ini，不能只放.user.ini或ini_set()里——后者无效 - 确认生效：用
curl -I http://yoursite/看响应头，别只信浏览器开发者工具，有些浏览器会缓存旧 header
Nginx + PHP-FPM 环境下 X-Powered-By 还在？
Nginx 本身不生成这个头，但 PHP-FPM 响应时仍会带。即使你已在 Nginx 配置里写了 fastcgi_hide_header X-Powered-By，也得配合 PHP 侧关闭，否则可能漏掉。
实操建议：
- 在
nginx.conf的location ~ .php$块里加：fastcgi_hide_header X-Powered-By - 同时确保 PHP 的
expose_php = Off已启用——两个地方都得堵，缺一不可 - 注意：如果用了
proxy_pass转发到 PHP 服务（比如 swoole），fastcgi_hide_header不起作用，得改用proxy_hide_header X-Powered-By
Node.js（Express）怎么禁用 X-Powered-By
Express 默认开启 X-Powered-By，值是 Express。它不暴露版本号，但依然属于可被识别的技术指纹，该关。
实操建议：
- 启动前加一行：
app.disable('x-powered-by')（推荐，在app.listen()之前） - 或者用中间件手动删：
app.use((req, res, next) => { res.removeHeader('X-Powered-By'); next(); })，但不如disable干净 - 注意：如果用了
helmet，它默认就关了这个头；但没引入 helmet 时，别以为“没显式开启”就等于没发——Express 4+ 是默认开的
spring boot 2.x / 3.x 怎么去掉 X-Powered-By
Spring Boot 默认不发 X-Powered-By，但如果你看到它，大概率是嵌入的 tomcat 在说话（Tomcat 9+ 默认关了，老版本如 8.5 可能还开着）。也可能是前端反向代理（如 Nginx）自己加的。
实操建议：
- 检查是否用了老版 Tomcat：在
application.properties加server.tomcat.additional-tld-scan-packages=没用，得直接升级或改 Tomcat 配置 - 更可靠的方式：在
application.properties加server.tomcat.background-processor-delay=10不相关，真正有效的是自定义WebServerFactoryCustomizer，用 Java 代码调用tomcatServletWebServerFactory.addAdditionalTomcatConnectors(...)——太重，一般没必要 - 简单做法：加个过滤器删头：
response.setHeader("X-Powered-By", " ")（设空格，比removeHeader更稳，避免某些容器二次注入）
最容易被忽略的是：CDN 或负载均衡器（比如 AWS ALB、Cloudflare）可能自己加 X-Powered-By，这时候查应用日志或原始响应没用，得抓 CDN 回源后的流量，或者看 via / x-cache 头定位链路节点。