Asp.Net-IIS服务报错时HttpResponse冗余头信息泄露问题解决咨询

IIS 默认的响应头移除规则仅作用于应用程序正常处理返回的2xx/3xx类响应，4xx、5xx等错误响应大多由IIS原生错误模块在管道更早阶段生成，绕过了常规的web.config自定义头配置、URL Rewrite规则的处理流程，所以会出现错误响应仍携带泄露头的问题。

基础配置（适配IIS 10+版本，覆盖正常+错误响应） #

直接修改web.config配置即可完成全响应场景的头移除：

1. 移除X-AspNet-Version头
   在<system.web>节点下添加配置：

<httpRuntime enableVersionHeader="false" />

2. 移除X-Powered-By头
   在<system.webServer>节点下添加配置：

<httpProtocol>
  <customHeaders>
    <remove name="X-Powered-By" />
  </customHeaders>
</httpProtocol>

3. 移除Server头+覆盖错误响应处理逻辑
   在<system.webServer>节点下添加配置，禁用IIS原生错误响应覆盖，同时启用原生Server头移除属性：

<security>
  <requestFiltering removeServerHeader="true" />
</security>
<httpErrors existingResponse="PassThrough" />

注：existingResponse="PassThrough" 会让IIS保留应用层返回的所有响应内容与头信息，确保自定义的头移除规则可作用于错误响应，如需自定义错误页可同步在<httpErrors>节点下配置对应状态码的跳转路径即可。

兼容低版本IIS（低于10，无removeServerHeader原生支持） #

需自定义HTTP模块实现全响应场景的头移除，不受响应状态码限制：

1. 编写自定义模块代码

using System.Web;

namespace YourNamespace
{
    public class RemoveSensitiveHeadersModule : IHttpModule
    {
        public void Init(HttpApplication context)
        {
            context.PreSendRequestHeaders += (sender, e) =>
            {
                var response = context.Response;
                // 按需添加要移除的敏感头
                response.Headers.Remove("Server");
                response.Headers.Remove("X-AspNet-Version");
                response.Headers.Remove("X-Powered-By");
            };
        }

        public void Dispose()
        {
            // 无需要释放的资源可留空
        }
    }
}

2. 在web.config中注册模块，设置无前置条件适配所有响应：

<system.webServer>
  <modules runAllManagedModulesForAllRequests="true">
    <add name="RemoveSensitiveHeadersModule" type="YourNamespace.RemoveSensitiveHeadersModule" preCondition="" />
  </modules>
</system.webServer>

Asp.Net Core 托管于IIS场景补充配置 #

除上述web.config配置外，可在程序启动代码中禁用Kestrel默认的Server头：

var builder = WebApplication.CreateBuilder(args);
builder.WebHost.UseKestrel(options => options.AddServerHeader = false);

• Nginx：在http/server配置块添加server_tokens off;，如需移除额外头可使用more_clear_headers 'Server' 'X-Powered-By';，默认对所有状态码响应生效。
• Apache：在httpd.conf中添加ServerTokens Prod、ServerSignature Off，移除自定义头需加always参数：Header always unset X-Powered-By。
• SpringBoot：在application配置文件中设置server.server-header=清空Server头，也可实现Filter接口统一处理所有响应的头信息。

内容的提问来源于stack exchange，提问作者MattyMerrix