phpMyAdmin 默认在响应头中暴露版本号是因为其源码中硬编码了X-Powered-By头，位于libraries/classes/Response.php的sendHttpHeaders()方法内；最彻底的解决方式是直接注释或删除该header()调用行，而Nginx的fastcgi_hide_header仅在FastCGI模式下有效且可能因输出缓冲失效。
phpMyAdmin 版本号为什么会出现在响应头里
默认安装的 phpmyadmin 会在 http 响应头中插入 x-powered-by: phpmyadmin x.x.x，这是它自己写的逻辑，不是 nginx 或 php 自带的。只要入口是 phpmyadmin 的 php 脚本（比如 index.php），这个头就大概率会发出去——哪怕你关了 php 的 expose_php，也拦不住它。
直接在 phpMyAdmin 源码里删掉 X-Powered-By
最干净的办法是改它的源码，因为这个头是在 libraries/classes/Response.php 里硬编码加的。新版（5.2+）通常在 sendHttpHeaders() 方法里调用 header('X-Powered-By: phpMyAdmin ...')。
- 找到你的 phpMyAdmin 安装路径，比如
/usr/share/phpmyadmin/ - 编辑
libraries/classes/Response.php，搜索X-Powered-By - 注释或删掉类似
header('X-Powered-By: phpMyAdmin ' . PMA_VERSION);这行 - 注意：升级 phpMyAdmin 后该修改会丢失，得重新来一遍
用 Nginx 的 sub_filter 临时抹掉响应头（不推荐长期用）
sub_filter 不能删响应头，只能替换响应体内容；但你可以配合 fastcgi_hide_header 和 proxy_hide_header 来屏蔽头本身——前提是 phpMyAdmin 是通过 FastCGI（即 php-fpm）跑的，不是用 proxy_pass 转发的。
- 在 server 或 location 块里加：
fastcgi_hide_header X-Powered-By; - 如果用了
proxy_pass（比如反向代理到另一个 PHP 服务），就得用proxy_hide_header X-Powered-By; -
sub_filter在这里没用：它只处理响应体（HTML），不碰响应头 - 别写
underscores_in_headers on;——这跟隐藏版本号无关，还可能引发其他 header 解析问题
为什么光靠 Nginx 配置很难彻底解决
因为 phpMyAdmin 的 X-Powered-By 是在 PHP 层动态生成并发送的，Nginx 在收到完整响应后才做 header 过滤。如果 phpMyAdmin 先发了 header（比如开启了 output buffering 但没 flush），Nginx 的 fastcgi_hide_header 就来不及干预。
- 确认是否真被隐藏：用
curl -I https://your.domain/phpmyadmin/看响应头 - 如果仍有
X-Powered-By，大概率是 phpMyAdmin 自己发的，且 Nginx 没拦住——这时候必须改源码 - 有些 Docker 镜像或一键包（如 AMPPS、XAMPP）会预设 header，得查它们的启动脚本或封装逻辑
真正起效的只有两个点：改 phpMyAdmin 源码，或者确保 Nginx 在 FastCGI 模式下正确用了 fastcgi_hide_header。其他绕路方案，比如用 Lua 模块或第三方过滤器，反而增加维护成本和兼容风险。
立即学习“PHP免费学习笔记（深入）”；
