Web 安全：隐藏服务版本号

前述

    为了防止一些恶意用户对 apache、nginx、php 等显示出来的版本信息进行攻击，生产环境须要关闭 web 服务的版本信息；

 

apache 隐藏版本号

    修改 httpd.conf，添加以下：

        ServerTokens ProductOnly

        ServerSignature off

    模式可参考：

    http://blog.csdn.net/flowingflying/article/details/48975419

 

nginx 隐藏版本号

    修改 nginx.conf，在 http 节点添加：

    server_tokens off;

 

php 隐藏版本号

    修改 php.ini 配置文件：

    expose_php = Off

重启生效；

 

tomcat 等可参考

    http://lovelace.blog.51cto.com/1028430/1440212

 

关闭 PHP 的报错信息

    接口出错，会把后台 php 的错误在浏览器中展示，生产环境中要关闭这类展现。

    配置文件 php.ini 中选项：

    error_reporting： 设定错误信息的级别（E_ALL、E_ALL ~E_NOTICE 等等）

    display_errors = Off：是否展现错误信息；

    log_errors = Off：错误日志（当 log_errors 选项为 On 时，必须指定错误文件，若是没有指定或者没有写的权限，那么错误的日志仍是会在浏览器中打印出来，哪怕是 display_errors = Off）