必须彻底清除X-Powered-By头：ThinkPHP8需修改Response.php或用中间件移除，PHP层设expose_php=Off并重启PHP-FPM，Nginx中配置fastcgi_hide_header或proxy_hide_header指令。
ThinkPHP8 应用上线后，响应头中仍出现 X-Powered-By: ThinkPHP，会直接暴露框架身份与潜在技术栈，攻击者可据此检索已知漏洞并发起精准攻击，必须彻底清除该字段。
确认当前是否泄露
执行 curl 命令验证真实响应头：curl -I https://your-domain.com/。注意：不要只看浏览器开发者工具 Network → Response Headers，它可能缓存旧结果或被 DevTools 自动过滤；必须用 curl 或 Postman 等原始 HTTP 工具抓取服务端实际返回。
若输出中含 X-Powered-By: ThinkPHP 或 X-Powered-By: PHP/8.x，说明两层泄露同时存在——框架层未屏蔽，PHP 层也未关闭暴露。
关闭 ThinkPHP8 自带的 X-Powered-By
ThinkPHP8 已移除旧版 View.class.php 中硬编码 header 的写法，改为由核心响应类统一注入。需定位到响应初始化逻辑：
立即学习“PHP免费学习笔记（深入）”；
打开 thinkphp/library/think/Response.php，搜索 X-Powered-By 字符串（通常在 sendHeader() 或 getHeader() 方法内）。
找到类似这一行：$this->header['X-Powered-By'] = 'ThinkPHP';，将其整行注释或删除。若使用 Composer 安装且文件受保护，【不可直接修改 vendor 目录下源码】，应通过配置覆盖方式处理。
更安全的做法是：在应用入口 public/index.php 或全局中间件中，于响应发送前强制移除该头。例如在 app/middleware/SecurityMiddleware.php 中添加：
public function handle($request, \Closure $next) { $response = $next($request); $response->header('X-Powered-By', ''); return $response; }
同步关闭 PHP 层的 X-Powered-By
即使 ThinkPHP 不再输出，PHP 自身仍会通过 expose_php = On 默认设置追加 X-Powered-By: PHP/8.x。这步必须做，且优先级高于框架层修改。
第一步：编辑服务器上的全局 php.ini 文件（不是 .user.ini，也不是 runtime 目录下的临时 ini），路径常见为 /etc/php/8.2/fpm/php.ini 或 /usr/local/php/etc/php.ini。
第二步：查找 expose_php 行，将值改为 Off：expose_php = Off。
第三步：重启 PHP-FPM 服务：sudo systemctl restart php8.2-fpm（版本号按实际调整）。仅 reload 不生效，必须 full restart。
注意：如果使用宝塔、AMH 等面板，请在「PHP 设置」→「禁用函数/配置」页中找到 expose_php 选项并关闭，面板会自动写入正确 ini 并重启服务。
Nginx 层双重拦截（PHP-FPM 场景必做）
方法一：在 Nginx 的 PHP location 块中添加 fastcgi_hide_header
进入站点配置文件（如 /www/wwwroot/your-site.conf），定位到 location ~ \.php$ 区块，在 include fastcgi.conf; 或 fastcgi_pass 后面插入：
fastcgi_hide_header X-Powered-By;
方法二：若已启用 proxy_pass 转发至 Swoole 或其它后端（非 FastCGI），则 fastcgi_hide_header 不生效，必须改用：
proxy_hide_header X-Powered-By;
该指令必须放在 proxy_pass 之后、且在同一 location 块内才起作用。多写一遍不报错但无意义，每个要隐藏的头单独一行即可。
完成配置后，执行 nginx -t && nginx -s reload 验证并重载。
