Azure Windows IIS环境下.NET Core站点无web.config移除X-POWERED-BY header

针对你管理的数十个基于Windows+IIS的Azure Web App站点，且未使用web.config、通过公共基类统一维护的场景，以下是三种无需添加web.config的有效方案：

方案1：Azure Portal全局应用设置（批量管理首选） #

直接通过Azure Web App的内置配置禁用该响应头，无需修改代码，适合批量操作：

• 登录Azure Portal，进入目标Web App的配置 > 应用程序设置
• 添加新设置：键为WEBSITE_DISABLE_X_POWERED_BY，值设为1或true
• 保存后站点会自动重启，X-POWERED-BY头将被移除

如果需要批量处理数十个站点，可使用Azure CLI脚本批量更新：

# 单个站点设置
az webapp config appsettings set --name <站点名称> --resource-group <资源组名称> --settings WEBSITE_DISABLE_X_POWERED_BY=1

# 批量处理示例（Bash脚本，需先列出所有目标站点）
for app in $(az webapp list --resource-group <资源组名称> --query "[].name" -o tsv); do
    az webapp config appsettings set --name $app --resource-group <资源组名称> --settings WEBSITE_DISABLE_X_POWERED_BY=1
done

方案2：配置IISServerOptions（代码层面统一集成） #

之前的Kestrel设置无效是因为Azure Web App Windows环境下，IIS作为反向代理托管Kestrel，X-POWERED-BY头由IIS集成模块添加，而非Kestrel。需在公共基类的配置中添加IISServerOptions设置：

.NET 6+ 顶级语句（Program.cs） #

builder.Services.Configure<IISServerOptions>(options =>
{
    options.DisableServerHeader = true;
});

传统Startup.cs（ConfigureServices方法） #

public void ConfigureServices(IServiceCollection services)
{
    // 其他服务配置...
    services.Configure<IISServerOptions>(options =>
    {
        options.DisableServerHeader = true;
    });
}

该设置会让ASP.NET Core的IIS集成模块停止添加X-POWERED-BY头，所有继承基类的站点都会生效。

方案3：全局中间件强制移除（兜底方案） #

如果上述方案仍有遗漏，可在公共基类的Startup.Configure方法中添加全局中间件，确保响应发送前移除该头。注意要将此中间件放在所有其他中间件之前，保证响应管道最后执行移除操作：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // 先添加移除头的中间件
    app.Use(async (context, next) =>
    {
        await next();
        // 移除或清空X-POWERED-BY头
        context.Response.Headers.Remove("X-Powered-By");
        // 若需要清空而非移除，可使用：context.Response.Headers["X-Powered-By"] = string.Empty;
    });

    // 后续添加其他中间件（如UseRouting、UseAuthorization等）
    // ...
}

内容的提问来源于stack exchange，提问作者user1147862