phpMyAdmin版本泄露主要通过静态文件和响应特征暴露，需物理删除changelog.php、doc/、README等文件并用Web服务器规则屏蔽敏感路径，而非仅依赖配置关闭显示。
phpmyadmin 本身不主动暴露版本号，但默认安装路径、响应头、前端资源和文档文件会成为攻击者识别版本的“指纹”。关掉 display_errors 或改个目录名没用——真正要防的是自动化扫描器通过静态特征匹配版本。
检查 phpMyAdmin 版本泄露的常见入口
别只盯着 /phpmyadmin/README，这些地方更常被扫描器抓取：
-
/phpmyadmin/changelog.php—— 直接显示完整版本和更新记录（如4.9.7或5.2.1） -
/phpmyadmin/doc/html/index.html—— 页面底部有明确版本声明 -
/phpmyadmin/js/functions.js—— 某些旧版会在注释或变量里埋版本字符串（如var PMA_VERSION = "5.1.0";） -
/phpmyadmin/themes/pmahomme/css/theme.css—— 文件末尾可能含构建时间与版本哈希 - HTTP 响应头中
X-Powered-By若未清理，也可能带phpMyAdmin/x.y.z（极少见，但部分定制包会加）
删文档 + 清前端资源是最有效手段
配置项无法隐藏这些静态文件，必须物理移除或拦截访问：
- 进 phpMyAdmin 安装目录（如
/usr/share/phpmyadmin/或C:\wamp64\apps\phpmyadmin），直接删除：changelog.php、README、doc/、setup/、examples/ - 用 Web 服务器规则屏蔽敏感路径：Nginx 加
location ~ ^/(changelog|README|doc|setup|examples) { return 404; }；Apache 加RedirectMatch 404 ^/(changelog|README|doc|setup|examples) - 不要依赖
$cfg['ShowChgLog'] = false;—— 这只控制界面按钮，changelog.php文件仍可直访 - 前端 JS/CSS 中的版本信息无法靠配置抹除，删文件或用构建脚本替换（如 webpack 替换字符串）是唯一可靠方式
确认是否还残留可识别指纹
别信“我改了路径就安全了”，用真实扫描视角验证：
- 执行
curl -s https://yoursite.com/phpmyadmin/changelog.php | head -n5，看是否返回 HTML 或 200 状态 - 用
curl -sI https://yoursite.com/phpmyadmin/js/functions.js | grep -i version检查响应头或内容 - 浏览器打开
/phpmyadmin/doc/html/index.html，看是否 404 或重定向 - 运行
grep -r 'PMA_VERSION\|version' /path/to/phpmyadmin/js/，确认无硬编码版本
版本号不是藏在配置里，而是刻在文件里、写在响应里、印在注释里。删干净比设开关管用得多；一旦留一个 changelog.php，扫描器就能秒定你用的是哪个已知漏洞版本。
立即学习“PHP免费学习笔记（深入）”；
