如何移除Laravel与Express服务响应头中的Server标签

一、Laravel（PHP）环境 #

1. 修改Web服务器配置（核心解决办法） #

Server响应头大多是由Apache、Nginx这类Web服务器添加的，并非Laravel或PHP本身生成，所以优先调整服务器配置：

• Apache环境：
  在httpd.conf或站点虚拟主机配置文件中添加：

  ServerTokens Prod
  ServerSignature Off
  Header unset Server
  

  其中ServerTokens Prod会简化Server头内容，Header unset Server则直接移除该头（需确保mod_headers模块已启用），修改后重启Apache生效。

• Nginx环境：
  在nginx.conf或对应站点的server块中添加：

  server_tokens off;
  more_clear_headers Server;
  

  若未安装ngx_headers_more模块，可替换为proxy_hide_header Server;，重启Nginx后生效。

2. PHP层面补充配置 #

修改php.ini文件，关闭PHP版本暴露：

expose_php = Off

这会移除X-Powered-By头，进一步减少服务器信息泄露。

3. Laravel中间件优化 #

确保你的中间件已在app/Http/Kernel.php的$middleware数组中全局注册，同时可尝试直接覆盖Server头为空值（仅当服务器未强制添加时有效）：

$response->header('Server', '');

二、Express（Node.js）环境 #

1. 纯Node.js运行场景 #

Node.js本身会自动添加Server头，需在服务器层面或响应阶段处理：

• 方法一：创建HTTP服务器时拦截

const express = require('express');
const http = require('http');
const app = express();

// 注册你的中间件和路由
app.use(removeServerHeader);

const server = http.createServer(app);
server.on('request', (req, res) => {
  res.removeHeader('Server');
});

server.listen(3000);

• 方法二：在响应完成前移除
  调整你的中间件，监听响应结束事件执行移除操作：

const removeServerHeader = (req, res, next) => {
  res.on('finish', () => {
    res.removeHeader('Server');
  });
  next();
};

2. 反向代理（如Nginx）场景 #

若Express部署在Nginx反向代理后，Server头由Nginx生成，直接按照上文Nginx的配置修改即可移除。

3. Express应用层补充 #

可选关闭ETag功能，减少额外响应头信息：

app.set('etag', false);

内容的提问来源于stack exchange，提问作者Juan Ignacio Fernandez