server_tokens off 不够用，因仅隐藏响应头版本号，错误页、默认欢迎页、状态接口及SSL指纹仍泄露真实版本；须同步修改自定义响应头、错误页、欢迎页，并在自编译时修改源码版本字符串。
直接生效但不彻底——server_tokens off 只能隐藏响应头中的版本号，Nginx 源码编译信息、错误页、默认欢迎页仍会暴露真实版本。
为什么 server_tokens off 不够用
这个配置只影响 HTTP 响应头里的 Server 字段，比如把 Server: nginx/1.22.1 变成 Server: nginx。但漏洞扫描器（如 Nikto、WhatWeb、Nmap 的 http-server-header 脚本）还会通过以下方式识别版本：
- 访问不存在路径触发 404 错误页，页面底部常带
nginx/1.22.1 - 访问根路径返回默认欢迎页（宝塔未改过的话），HTML 注释或源码中含版本字符串
- 某些模块（如 ngx_http_stub_status_module）的 status 接口可能泄露编译时间与版本
- SSL 握手时 Server Hello 的 ALPN 或签名算法组合，配合已知 Nginx 版本指纹库也能反推
必须修改的三个位置（宝塔面板下）
宝塔的 Nginx 配置是分层生成的，硬改 /www/server/nginx/conf/nginx.conf 会被面板重启或重载覆盖。真正有效的改法是：
- 在站点配置中插入自定义响应头：进入「网站」→「设置」→「配置文件」，在
server块内任意位置加add_header Server "web-server";
（注意双引号，避免空值被忽略） - 替换默认错误页：复制
/www/server/nginx/html/50x.html为50x.html.bak，编辑原文件，删掉所有含nginx/的 HTML 注释和文字，保存后执行nginx -t && systemctl reload nginx - 禁用默认欢迎页：编辑站点配置，在
location /块里加return 444;
或指向一个空白 HTML，否则访问 IP 或未绑定域名时仍会返回带版本信息的 welcome 页面
编译期隐藏（仅适用于自编译 Nginx）
如果你用的是宝塔「编译安装」的 Nginx（非极速安装），可在源码编译前改两个地方：
- 修改
src/core/nginx.h中的#define NGINX_VERSION "1.22.1"为"1.0"或留空（需同步改NGINX_VER） - 修改
src/http/ngx_http_special_response.c中 404/50x 错误页模板，删掉nginx version相关字符串 - 重新运行
./configure && make && make install；注意宝塔后续升级会覆盖，需记录 patch 并每次重打
最易被忽略的是错误页和默认页——哪怕 server_tokens 关了，扫描器 curl 一下 /nonexistent 就立刻拿到版本。别只盯着配置文件里那一行。
