php - 在 php.ini 中关闭 expose_php

Question

我被告知在我的 php.ini 中包含 expose_php = On 是一个安全问题，因此不符合 PCI 标准。

到目前为止，我对它的研究表明，关闭它的风险很低，并且基本上会停止在 header 中发回 PHP 版本，但是我想知道在此更改之后是否可能会出现任何问题.

我正在考虑的潜在问题是第三方服务(支付提供商、电子邮件跟踪系统、视频流 API)，它们希望您响应一个 header ，表明您正在运行一个 PHP 版本，可能超过某个版本？

这应该是无缝更改还是会出现问题？

Answer 1

没错。

设置 expose_php = Off 只是防止网络服务器发回 X-Powered-By header 。

虽然可以说潜在的黑客可以寻找具有安全漏洞的 PHP 的过时版本来加以利用，但即使 header 已关闭，他们也可能会这样做。在我看来，这是一件好事，但不要指望它能提供太多保护。

在与第三方服务交互方面，他们不必关心您使用的是哪个版本的 PHP。它们应该能够以与平台无关的格式(例如 JSON、XML 等)提供内容，以便任何平台都可以使用这些服务，而不仅仅是 PHP。

无论如何，对他们来说，依赖“消费者”的 PHP 版本是没有用的，因为 header 可以很容易地关闭，甚至可能被服务器管理员操纵。

因此，关闭它应该没有问题。