server_tokens off; 必须放在 http 块中才能全局生效，它控制响应头及默认错误页中的版本号显示，reload 后需用真实请求验证 header 和错误页面源码是否彻底隐藏版本信息。
直接生效、必须加、且只写一次就能全局关闭版本号的配置就是 server_tokens off;，加在 http 块里， reload 后立刻生效。其他方式要么无效，要么徒增维护成本。
为什么 server_tokens off 必须放在 http 块里
这个指令作用域是层级继承的：写在 http 块中，所有 server 和 location 都自动继承；若只写在某个 server 块里，其他虚拟主机仍会暴露版本号。
- 错误写法：
server { server_tokens off; }→ 只影响该站点，其余server仍显示Server: nginx/1.24.0 - 正确位置：必须在
http { ... }大括号内，紧贴include mime.types;下方即可 - 注意：它不修改错误页面 HTML 中的文字（如 404 页面底部的 “nginx/1.24.0”），仅控制响应头和默认错误页的文本渲染逻辑
验证是否真的隐藏成功，别信 reload 就完事
reload 成功不代表生效。必须用真实请求验证，且要测两种场景：
- 正常请求：
curl -I http://your-domain.com→ 响应头中Server字段应为Server: nginx，不能含斜杠和数字 - 触发错误：
curl -I http://your-domain.com/xxx-nonexistent-path→ 看返回的 404 页面源码，搜索nginx/，确认无版本字符串残留 - 常见漏检点：某些 CDN 或反向代理（如 Cloudflare）会覆盖
Server头，此时需直连 Nginx IP 测试，绕过中间层
不要用 more_set_headers 覆盖 Server 头
有人试图用第三方模块强行改写响应头，比如 more_set_headers "Server: web-server";，这不可靠：
- 需要额外编译安装
headers-more-nginx-module，多数发行版默认不带 - 该模块在某些 Nginx 版本（尤其是 1.21+）中与
server_tokens off冲突，可能导致头被覆盖两次或丢失 - Nginx 内部对
Server头有硬编码处理逻辑，more_set_headers属于“打补丁式覆盖”，不如原生命令稳定
源码级修改只适合极少数场景，别在生产环境试
改 src/core/nginx.h 里的 NGINX_VERSION 确实能彻底抹掉痕迹，但代价很高：
- 每次升级 Nginx 都得重新下载源码、改头文件、configure、make、install，无法用包管理器（apt/yum/dnf）一键更新
- 修改后若未同步调整
ngx_http_header_filter_module.c中的字符串拼接逻辑，仍可能在某些错误路径下泄露原始标识 - 绝大多数安全审计工具（如 Nikto、Nmap 的 http-server-header 脚本）只检查响应头，
server_tokens off已满足合规要求（如等保 2.0、PCI DSS）
真正容易被忽略的是：错误页面 HTML 源码里还藏着版本字眼，而很多人只盯着响应头看。只要没自定义 4xx/5xx 错误页，就得靠 server_tokens off 连带清理这部分——它不是“只管 header”，而是连带控制默认错误页文本生成逻辑。这点文档很少明说，但实测有效。
