expose_php控制HTTP响应头中是否自动添加X-Powered-By字段，设为Off仅禁用PHP默认输出，不影响手动header()或phpinfo()；必须在php.ini中修改并重启服务验证。
PHP 的 expose_php 配置到底控制什么
它只控制是否在 HTTP 响应头中自动添加 X-Powered-By: PHP/x.x.x，不关其他头的事，也不影响 phpinfo() 输出或脚本执行。设为 Off 后，PHP 不再主动发这个头，但如果你在代码里手动调用 header('X-Powered-By: ...')，它照样会出现。
常见误解是以为关了它就能“隐藏 PHP”，其实只是去掉了默认头；真实暴露面（如错误页面、目录结构、Server 头）还得靠 Nginx/Apache 配合处理。
如何正确设置 expose_php = Off
必须改 PHP 主配置文件 php.ini，不能靠 .htaccess 或运行时 ini_set() —— 这个指令是 PHP_INI_SYSTEM 级别的，仅在启动时读取。
- 找到生效的
php.ini：运行php --ini或在phpinfo()页面查 “Loaded Configuration File” - 编辑该文件，搜索
expose_php，改为：expose_php = Off
- 重启 Web 服务（
systemctl restart nginx或systemctl restart apache2），PHP-FPM 也要重启（systemctl restart php*-fpm） - 验证：用
curl -I http://your-site/检查响应头里是否还有X-Powered-By
为什么改了 php.ini 还有 X-Powered-By 头
大概率是被 Web 服务器或应用层覆盖了。Nginx 和 Apache 默认不加这个头，但容易踩这些坑：
立即学习“PHP免费学习笔记（深入）”；
- Nginx 配置里写了
add_header X-Powered-By PHP;—— 直接删掉或注释 - Apache 的
.htaccess或虚拟主机配置含Header set X-Powered-By "PHP"—— 检查并移除 - Laravel、Symfony 等框架中间件手动设置了该头（比如某些调试中间件）—— 查
App\Http\Middleware或响应拦截逻辑 - CDN（如 Cloudflare）回源后又加了一次 —— 检查 CDN 缓存规则或响应重写设置
额外注意：别漏掉 CLI 和 FPM 的配置差异
CLI 模式下的 php.ini 和 Web 模式（FPM / Apache 模块）可能不是同一个文件。比如 Ubuntu 上：/etc/php/*/cli/php.ini 和 /etc/php/*/fpm/php.ini 是分开的。FPM 用的是 fpm 目录下的配置，改错位置就白忙。
如果用 Docker，确认你修改的是容器内实际加载的 php.ini，而不是宿主机文件；有些镜像把 expose_php = On 写死在 docker-php-ext-enable 后的覆盖配置里，得进容器检查 /usr/local/etc/php/conf.d/ 下的 .ini 文件。
