直接用Header always unset可清除后端敏感指纹头，但必须在<VirtualHost>块内逐行配置X-Powered-By、X-AspNet-Version、X-Generator等关键头，并配合ServerTokens Prod和ServerSignature Off隐藏Server信息，且需验证各路径及错误页是否彻底清除。
直接在 <VirtualHost> 块里加几行 Header always unset 就能清除后端暴露的敏感信息，关键不是“能不能删”，而是“删得干净、不遗漏、不被覆盖”。
必须清除的典型后端指纹头
这些头由 PHP、ASP.NET、Spring Boot、Express 等后端自动注入，扫描器一眼就能识别技术栈：
-
X-Powered-By（PHP/Node.js/.NET 默认添加） -
X-AspNet-Version（.NET 应用特有） -
X-Generator（WordPress、Drupal、Joomla 等 CMS 暴露） -
X-Runtime、X-Debug-Token、X-Drupal-Cache-Tags（调试或缓存标记，可能泄露路径、模块名、实体 ID）
在虚拟主机配置中正确写法
编辑你的站点配置文件（如 /etc/apache2/sites-available/example.com.conf），在 <VirtualHost> 块内加入：
<IfModule mod_headers.c>
Header always unset X-Powered-By
Header always unset X-AspNet-Version
Header always unset X-Generator
Header always unset X-Debug-Token
Header always unset X-Drupal-Cache-Tags
</IfModule>✅ always 是必须的——它确保指令在响应组装最后阶段执行，能覆盖后端（如 PHP-FPM 或 Java 应用）重设的同名头。
✅ 每个头单独一行——Header unset 不支持通配符或正则，也不能合并写成一行。
✅ 放在 <VirtualHost> 里，别塞进 <Directory> 或 .htaccess——后者作用域太窄，对 API 接口、静态文件、错误页都可能失效。
Server 头要额外处理Server: Apache/2.4.41 (Ubuntu) 这类信息不能只靠 Header unset Server：
Apache 2.4.62
下载
Apache 2.4.62 官方 tar.gz 源码包是 Linux 及类 Unix 系统构建 Web 服务器的核心基础。通过源码编译安装，开发者能够灵活定制模块、优化性能并精准控制安装路径，满足多样化的业务需求。
- 先全局启用精简模式：在主配置中设
ServerTokens Prod和ServerSignature Off - 再配合
Header always unset Server，否则 404/500 错误页仍会原样暴露
验证是否真删干净
别信浏览器 Network 面板默认请求，实操要这样测：
- 用
curl -I -H "Cache-Control: no-cache" https://yoursite.com/绕过 CDN 和本地缓存 - 分别访问根路径、
.js文件、/api/user接口、甚至故意触发 404 页面——不同路径可能走不同处理链，容易漏 - 在浏览器开发者工具里点开具体请求 → Response Headers → 确认看的是「Actual response」，不是预检（OPTIONS）或跳转响应
注意上游代理干扰
如果前面有 Nginx、Cloudflare 或 WAF：
- Apache 层的
unset对最终发给用户的响应无效 - 必须同步在 Nginx 的
location块加proxy_hide_header X-Powered-By; - 或在 WAF 控制台开启「删除响应头」规则
不复杂但容易忽略
