应从Apache和PHP两层禁用调试信息：Apache需隐藏服务器签名、禁用目录索引与TRACE方法；PHP需关闭错误显示、隐藏版本号、记录错误到受限日志；同时封禁敏感文件访问并精简日志内容。

Apache 本身不直接输出 PHP 级别的调试信息，但会暴露服务器身份、模块版本、错误详情等调试线索；PHP 则可能通过错误页面、HTTP 响应头或日志泄露敏感调试内容。禁用这些信息需从 Apache 和 PHP 两层分别配置，核心是“不暴露、不回显、不记录”。

关闭 Apache 服务标识与目录浏览

防止攻击者一眼识别软件版本和目录结构：

• 隐藏服务器签名：在主配置或虚拟主机中设 ServerSignature Off 和 ServerTokens Prod，让响应头只显示 Server: Apache，不带版本号或模块列表。
• 禁用目录索引：在 <Directory> 块中移除 Indexes 选项，避免用户访问空目录时看到文件列表。
• 禁用 TRACE 方法：添加 TraceEnable Off（Apache 2.2+ 支持），或用重写规则拦截：
  

  <IfModule mod_rewrite.c><br>
      RewriteEngine On<br>
      RewriteCond %{REQUEST_METHOD} ^TRACE<br>
      RewriteRule .* - [F]<br>
    </IfModule>

限制 PHP 调试信息外泄

PHP 是调试信息的主要来源，必须在 php.ini 中严格控制：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• 隐藏 PHP 版本：设 expose_php = Off，移除响应头中的 X-Powered-By 字段。
• 关闭错误页面展示：设 display_errors = Off，防止将警告、致命错误直接输出到浏览器。
• 禁用脚本内错误报告：确保没有代码调用 error_reporting(E_ALL) 或 ini_set('display_errors', '1') —— 这类运行时设置会覆盖 php.ini。
• 错误日志定向到文件：设 log_errors = On 和 error_log = /var/log/php_errors.log，并确保该文件权限为 600，仅属主可读。

阻止敏感文件被直接访问

调试信息常藏在配置文件、备份、版本库中，需主动封禁 HTTP 访问路径：

• 封禁常见敏感后缀：在站点 <Directory> 块中加入：
  

  <FilesMatch "\.(sql|bak|env|log|sh|pem|git|ini|conf)$"><br>
      Require all denied<br>
    </FilesMatch>

  
  注意结尾加 $ 防止误杀（如 mysql.php 不受影响）。
• 单独禁止 .git 目录：用正则覆盖大小写变体：
  

  <FilesMatch "^\.git"><br>
      Require all denied<br>
    </FilesMatch>

• 禁用 .htaccess 解析（若无需动态覆盖）：在主配置中设 AllowOverride None，避免用户通过该文件开启调试功能。

精简日志内容，避免记录调试线索

访问日志和错误日志也可能含调试痕迹（如完整 URL 含密码参数、堆栈路径）：

• 自定义日志格式：用 LogFormat 剔除敏感字段，例如不记录 %{Referer}i 或 %{User-Agent}i（除非业务必需）。
• 过滤含敏感词的请求：用 SetEnvIf 标记并排除，例如：
  

  SetEnvIf Request_URI "(password|apikey|token)" dontlog<br>
    CustomLog /var/log/apache2/access.log combined env=!dontlog

• 降低日志级别：设 LogLevel warn 或 error，避免 debug 或 info 级别输出内部状态。