ThinkPHP版本号泄露主因是调试模式开启、入口文件或模板中硬编码输出、自定义响应头及静态资源/日志/配置文件暴露；需关闭APP_DEBUG、清理所有version()调用、移除X-ThinkPHP等自定义头，并检查composer.json、.git目录及runtime日志权限。
ThinkPHP 本身不主动暴露框架版本号，但默认行为仍可能在错误页、响应头或调试信息中泄露关键线索——必须手动干预才能真正隐藏。
为什么 expose_php = Off 不影响 ThinkPHP 版本号
PHP 的 expose_php = Off 只能移除 HTTP 响应头中的 X-Powered-By: PHP/8.1.23，对 ThinkPHP 自己输出的标识完全无效。ThinkPHP 在以下位置可能暴露版本：
- 开启调试模式（
APP_DEBUG = true）时，错误页底部显示ThinkPHP V6.1.5或类似字样 - 使用
think\facade\App::version()并意外输出到前端（比如日志、接口返回、模板注释） - 某些老版本（如 TP5.0）在
public/index.php入口文件顶部有未注释的echo 'ThinkPHP ' . App::version(); - HTTP 响应头中被中间件或自定义逻辑写入
X-ThinkPHP-Version（极少见，但自定义代码可能引入）
关闭调试模式并禁用版本相关输出
这是最直接有效的操作，适用于所有 ThinkPHP 5.x 和 6.x 版本：
- 确保
APP_DEBUG在生产环境设为false（TP6 中是app_debug = false，配置在config/app.php或环境变量） - 检查
public/index.php，删掉任何形如echo App::version();、print_r(ThinkPHP::VERSION);的调试语句 - 搜索整个项目，排除模板中硬编码的
{:think\facade\App::version()}或{{ \think\facade\App::version() }} - TP6 用户注意：
config/app.php中的show_error_msg必须为false，否则错误页仍会显示框架信息
移除响应头中的 ThinkPHP 痕迹
ThinkPHP 默认不会写入框架标识头，但开发者常在中间件里加：
立即学习“PHP免费学习笔记（深入）”；
header('X-ThinkPHP: 6.1.5');
这类自定义头必须清理。检查中间件目录（如 app/middleware/），查找含 header(、response()->header(、$response->header( 的语句。尤其注意：
- 自定义的「安全头」中间件（如设置 CSP、HSTS 的同时顺手加了框架标识）
- 第三方扩展包注册的中间件（例如某些日志、监控 SDK）
- TP5 的
app/common.php或全局函数文件中误写的header()
确认无误后，用 curl -I https://yoursite.com 检查响应头，确保没有 X-ThinkPHP、X-Framework 或其他非标准框架标识字段。
额外风险点：静态资源与注释残留
容易被忽略但真实存在的泄漏源：
-
public/static/下的 JS/CSS 文件里，开发者有时会保留注释如// Built with ThinkPHP 6.0.12 -
composer.json被意外放到 Web 可访问路径（如public/composer.json），暴露"topthink/framework": "^6.1" - Git 仓库未屏蔽，
.git/目录可被直接访问，通过.git/config或.git/logs/HEAD推断开发环境使用的 TP 版本 - TP6 的
runtime/log/日志若权限宽松且 URL 可达，某条报错日志里可能带出vendor/topthink/framework/src/Console.php路径，结合 GitHub 提交记录反推版本
这些不是 ThinkPHP 本身的机制问题，而是部署和运维环节的疏漏——只要有一处没清理干净，扫描器就能拼凑出框架指纹。
