Nginx默认暴露Server头会泄露版本信息，为攻击者提供指纹，可能结合phpMyAdmin的PHP版本形成组合漏洞利用路径；需通过server_tokens off、proxy_hide_header Server及headers-more模块协同隐藏。
为什么 Nginx 默认暴露 Server 头对 phpMyAdmin 有风险
phpMyAdmin 是数据库管理界面，常暴露在公网或内网边界。Nginx 默认返回 Server: nginx/1.24.0 这类响应头，会泄露服务端技术栈和版本号，给攻击者提供指纹信息——比如已知某版本 Nginx 存在特定 CVE，配合 phpMyAdmin 的 PHP 版本，可能形成组合利用路径。隐藏它不是万能防护，但属于基础安全加固中成本最低、见效最快的一环。
直接修改 nginx.conf 的 server_tokens 指令
这是最常用也最有效的办法，作用于整个 Nginx 实例，影响所有虚拟主机（包括代理到 phpMyAdmin 的 location）。注意：它只控制 Server 响应头的值，不移除该 header 字段本身。
- 在
http块或server块中添加：server_tokens off; - 如果只想对 phpMyAdmin 路径生效，必须放在其所在的
server块内（不能只放在location块里——server_tokens不支持 location 级别） - 重启后验证：
curl -I http://your-domain/phpmyadmin/应看不到完整版本号，只显示Server: nginx或完全不显示（取决于 Nginx 版本与编译选项）
用 more_set_headers 移除或覆盖 Server 头（需安装 headers-more 模块）
原生 Nginx 不允许删除 Server 头，add_header Server ""; 无效。必须借助第三方模块 headers-more-nginx-module 才能真正清除或伪造。
- 确认已安装该模块（Ubuntu/Debian 可用
nginx-extras包；CentOS 需手动编译或使用 OpenResty） - 在 phpMyAdmin 对应的
location块中添加：more_set_headers "Server: ";（空值可清空）或more_set_headers "Server: web-server";（伪造成其他服务） - 注意：若同时启用了
server_tokens off;，再用more_set_headers覆盖更彻底；否则仅靠后者可能仍残留默认值 - 该方式比
server_tokens更灵活，但引入了额外依赖，升级 Nginx 时容易因模块缺失导致启动失败
反向代理 phpMyAdmin 时，别忘了后端 PHP 的 Server 头
Nginx 只负责自己发出的响应头。如果 phpMyAdmin 运行在 Apache 或 PHP-FPM 自带的 fastcgi 服务器上，它们也可能输出自己的 Server 头——这会被 Nginx 默认透传，绕过所有前端配置。
立即学习“PHP免费学习笔记（深入）”；
- 检查原始响应：
curl -H "Host: your-domain" http://127.0.0.1:8080/phpmyadmin/（直连后端端口），看是否仍有Server: Apache或Server: PHP/8.2.12 - 若后端是 PHP-FPM + FCGI，通常无独立 Server 头；但若用了 Apache 或 Caddy 作后端，则需在后端配置中禁用（如 Apache 的
ServerSignature Off和ServerTokens Prod） - Nginx 作为反向代理时，可通过
proxy_hide_header Server;主动屏蔽后端返回的 Server 头——这个指令必须放在location或server块中，且只对 proxy_pass 生效
server_tokens off、对后端响应的 proxy_hide_header Server、以及必要时用 more_set_headers 做最终兜底。漏掉任意一环，都可能让 Server 头重新出现。 
