Web 安全：隱藏服務版本號

前述

    爲了防止一些惡意用戶對 apache、nginx、php 等顯示出來的版本信息進行攻擊，生產環境須要關閉 web 服務的版本信息；

 

apache 隱藏版本號

    修改 httpd.conf，添加以下：

        ServerTokens ProductOnly

        ServerSignature off

    模式可參考：

    http://blog.csdn.net/flowingflying/article/details/48975419

 

nginx 隱藏版本號

    修改 nginx.conf，在 http 節點添加：

    server_tokens off;

 

php 隱藏版本號

    修改 php.ini 配置文件：

    expose_php = Off

重啓生效；

 

tomcat 等可參考

    http://lovelace.blog.51cto.com/1028430/1440212

 

關閉 PHP 的報錯信息

    接口出錯，會把後臺 php 的錯誤在瀏覽器中展示，生產環境中要關閉這類展現。

    配置文件 php.ini 中選項：

    error_reporting： 設定錯誤信息的級別（E_ALL、E_ALL ~E_NOTICE 等等）

    display_errors = Off：是否展現錯誤信息；

    log_errors = Off：錯誤日誌（當 log_errors 選項爲 On 時，必須指定錯誤文件，若是沒有指定或者沒有寫的權限，那麼錯誤的日誌仍是會在瀏覽器中打印出來，哪怕是 display_errors = Off）