ASP.NET Core 6中Runtime不可见的Server/X-Powered-By头移除问题

你的API基于ASP.NET Core 6构建，遇到的问题是：Runtime/调试阶段的响应里看不到Server和X-Powered-By头，但通过Postman或浏览器访问时这两个头会显示出来，且无法在Runtime期间直接移除它们。

（截图说明：

• Runtime响应头：仅展示Content-Type、Date等基础响应头，无Server和X-Powered-By项
• Postman响应头：除基础头外，额外显示Server: Kestrel和X-Powered-By: ASP.NET）

解决方案 #

一、移除X-Powered-By头 #

ASP.NET Core默认会注入这个头，可通过中间件直接移除，在Program.cs中添加：

var app = builder.Build();

// 移除X-Powered-By头
app.Use(async (context, next) =>
{
    context.Response.Headers.Remove("X-Powered-By");
    await next();
});

// 后续中间件配置...
app.UseRouting();
// ...

二、移除Server头 #

Server头通常由托管服务器（如Kestrel、IIS）添加，需分环境处理：

1. Kestrel自托管场景

在Program.cs中配置Kestrel禁用Server头：

var builder = WebApplication.CreateBuilder(args);

// 配置Kestrel不发送Server头
builder.WebHost.ConfigureKestrel(options =>
{
    options.AddServerHeader = false;
});

// ...其他配置
var app = builder.Build();

2. IIS/IIS Express托管场景

• 对于正式IIS部署，修改网站的web.config，添加以下配置：

<configuration>
  <system.webServer>
    <!-- 移除Server自定义头 -->
    <httpProtocol>
      <customHeaders>
        <remove name="Server" />
      </customHeaders>
    </httpProtocol>
    <!-- 禁用IIS自带的Server头 -->
    <security>
      <requestFiltering removeServerHeader="true" />
    </security>
  </system.webServer>
</configuration>

• 若使用IIS Express调试，找到项目目录下.vs/config/applicationhost.config文件，定位到对应站点的<system.webServer>节点，添加上述相同配置。

三、验证配置 #

重启API服务后，用Postman或浏览器再次请求接口，检查响应头列表，确认Server和X-Powered-By已被移除。

内容的提问来源于stack exchange，提问作者sprash