如何隐藏WordPress网站技术栈？已尝试PHP.ini及.htaccess配置无效

Wappalyzer这类工具不止靠响应头识别技术栈，还会抓取页面特征字符串、资源路径、Cookie标识等，你之前的操作只覆盖了部分环节，试试下面这些完整方案：

1. 清理响应头&服务器标识 #

• 确认expose_php = off生效的同时，服务器层面也要隐藏自身信息：
  • Apache：在.htaccess里添加

    ServerTokens Prod
    ServerSignature Off
    Header unset X-Powered-By
    

  • Nginx：在配置文件的server块里添加

    server_tokens off;
    more_clear_headers 'X-Powered-By';
    

• 移除WordPress自带的生成器头：在主题functions.php里添加

  add_action('send_headers', function() {
      remove_action('wp_head', 'wp_generator');
      header_remove('X-Generator');
  });
  

2. 修改暴露身份的资源路径 #

WordPress默认的wp-content、wp-includes是识别重灾区，直接改名处理：

1. 将服务器上的wp-content文件夹改为自定义名称（比如assets），wp-includes改为includes
2. 在wp-config.php里添加常量指定新路径：

   define('WP_CONTENT_DIR', $_SERVER['DOCUMENT_ROOT'] . '/assets');
   define('WP_CONTENT_URL', 'https://你的域名/assets');
   define('WPINC', 'includes');
   

3. 抹除页面内的WordPress特征 #

• 删除主题header.php里的<meta name="generator" content="WordPress X.X.X">标签
• 批量替换页面特征字符串：用WP-CLI执行命令，把wp-block-类名换成自定义的site-block-，把wp-开头的资源路径关键词替换掉

  wp search-replace 'wp-block-' 'site-block-' --all-tables
  

• 伪装登录页：默认的wp-login.php过于显眼，在.htaccess里加规则改成自定义路径（比如user-login），同时禁止直接访问原路径：

  RewriteRule ^user-login$ wp-login.php [L]
  RewriteCond %{REQUEST_URI} ^/wp-login\.php$
  RewriteRule ^ - [F,L]
  

4. 修改Cookie前缀 #

WordPress默认的Cookie前缀是wordpress_，直接在wp-config.php里改成自定义前缀：

define('COOKIE_PREFIX', 'site_');

5. 服务器层伪装补充 #

在.htaccess（Apache）或Nginx配置里，给响应头添加伪装的服务器标识，混淆探测：

• Apache：

  Header set Server "nginx"
  

• Nginx：

  add_header Server "nginx";
  

注意事项 #

• 每次升级WordPress、主题或插件后，要重新检查是否恢复默认特征，及时补改
• 部分依赖原生路径的插件可能会失效，修改后要全面测试功能
• 隐藏技术栈只是安全防护的一环，核心还是要保持所有组件更新，做好权限控制

内容的提问来源于stack exchange，提问作者Rajeev