自定义错误页面隐藏版本

把Nginx、Apache或者Tomcat的版本号直接暴露在404、500等错误页面上，相当于给攻击者递上了一把钥匙。他们不需要费劲去尝试各种漏洞，直接对照版本号找公开的漏洞库（CVE）就能发起精准打击。信息收集是黑客攻击的第一步，也是最关键的一步，而自定义错误页面隐藏版本，就是在这第一步上砌一堵墙。

很多人以为改了配置文件里的server_tokens就万事大吉，但实际上很多应用服务器在默认的404页面底部，或者响应头里，依然会通过其他方式泄露信息。真正的隐藏，是一个系统性的工程，要从代码、配置、中间件、甚至是前端静态页面多个维度去堵漏。

在动手之前，先得知道敌人在哪里能看到你。通常版本信息泄露在三个地方：HTTP响应头里的Server字段、默认错误页面的底部签名、以及应用框架抛出的调试信息。

拿Nginx举例，即使你在主配置文件里设置了server_tokens off;，如果你没有自定义404页面，Nginx内置的那个简陋的“404 Not Found”页面下方，往往还跟着一行“nginx/1.18.0”的小字。这行字在nginx源码里是硬编码的，必须通过自定义error_page指令才能彻底抹掉。

而对于Java生态里的Spring Boot，情况更复杂。它的默认白标错误页面（Whitelabel Error Page）不仅会暴露状态码，在调试模式下甚至可能把堆栈信息吐到页面上。这种信息泄露比单纯的版本号更致命，因为它直接暴露了代码逻辑和内部路径。

第一板斧，关掉Server头里的版本号。在nginx.conf的http块里加上：

http {
    server_tokens off;
    ...
}

这会让响应头里的Server字段从“nginx/1.18.0”变成“nginx”。但注意，这并没有完全移除Server头，只是去掉了版本号。如果你想连“nginx”这几个字都隐藏，需要更激进的手段。

第二板斧，自定义所有错误页面。在server块里，针对常见的HTTP错误码，指向你自己写的HTML文件：

server {
    error_page 404 /404.html;
    error_page 500 502 503 504 /50x.html;
    location = /404.html {
        root /usr/share/nginx/html;
        internal;
    }
    location = /50x.html {
        root /usr/share/nginx/html;
        internal;
    }
}

这里的internal指令很关键，它确保这些错误页面只能由Nginx内部重定向触发，用户无法直接在浏览器里通过URL访问/404.html，进一步减少了信息暴露面。你创建的404.html和50x.html必须是一个完整的、不包含任何服务器技术指纹的纯静态页面。

第三板斧，也是最狠的一招，直接修改或删除Server头。如果你需要完全移除Server头，标准的nginx模块做不到，需要安装第三方模块headers-more-nginx-module。编译安装后，在配置里可以这样写：

more_clear_headers 'Server';

或者更温和一点，把它伪装成别的：

more_set_headers 'Server: MyCustomWebServer';

这种伪装虽然有点掩耳盗铃，但确实能扰乱那些依赖自动化扫描工具的初级攻击者。不过要提醒的是，编译第三方模块会增加运维复杂度，升级Nginx时得记得重新编译，权衡利弊后再用。

Apache的配置逻辑和Nginx不同，它的版本隐藏分两个层级。第一层是ServerTokens指令，在httpd.conf或者apache2.conf里设置：

ServerTokens Prod

这个指令有多个级别：Full、OS、Minimal、Major、Prod。设置为Prod时，Server头只显示“Apache”，版本号和操作系统信息全没了。但和Nginx一样，这还不够。

第二层是ServerSignature指令，它控制的是Apache自动生成的错误页面底部是否显示服务器签名。必须设置为Off：

ServerSignature Off

很多运维只改了ServerTokens，忘了ServerSignature，结果自定义的404页面虽然生效了，但如果你没覆盖所有错误码，比如503，Apache吐出的默认页面底部依然挂着“Apache/2.4.41 (Ubuntu) Server at example.com Port 443”这样的信息，功亏一篑。

Apache自定义错误页面的配置比Nginx更直观，在.htaccess文件或者主配置里加一行：

ErrorDocument 404 /errors/not-found.html
ErrorDocument 500 /errors/internal-error.html

路径是相对于网站根目录的。这里有个容易踩的坑：错误页面的路径如果写错了，Apache会回退到它自己的硬编码错误页面，那个页面上版本信息又全回来了。所以配置完一定要自己触发一下各种错误码测试。

Tomcat是版本泄露的重灾区。它不仅在默认错误页面里显示版本，就连目录列表、甚至favicon.ico都可能成为信息泄露源。修改Tomcat的版本隐藏，要动conf/server.xml里的Connector节点：

注意那个server属性，你可以把它设置成任何字符串，Tomcat会把它放进Server响应头。但这只改了HTTP连接器，AJP连接器也要同样处理。

更麻烦的是错误页面。Tomcat的默认错误页面阀门（ErrorReportValve）会展示详细的错误信息和版本。最佳实践是自定义一个全局错误处理。在web.xml里配置：

    404
    /error/404.html


    500
    /error/500.html


    java.lang.Throwable
    /error/unexpected.html

但即便这样，如果你的Spring Boot应用没有关闭特定的错误处理，Spring MVC的默认BasicErrorController可能还是会接管错误处理，并返回包含timestamp、status、error、path等字段的JSON数据。虽然这里面没有直接写版本号，但返回格式本身就暴露了“这是一个Spring Boot应用”的事实。

要彻底解决，你得在Spring Boot的application.properties里关掉白标错误页面，并提供自己的ErrorController实现：

server.error.whitelabel.enabled=false

然后写一个全局异常处理器，捕获所有未处理的异常，返回一个干净的自定义JSON或者HTML页面，里面不包含任何框架特征。

如果你的架构里用了CDN或者反向代理，情况又复杂一层。很多CDN服务商在回源失败时，会展示它们自己的默认错误页面，上面可能带着CDN厂商的品牌和版本信息。比如某些CDN的504页面会明确写着“Powered by XXX”。

你需要登录CDN管理后台，找到“自定义错误页面”的设置项，把常见错误码的页面全部替换成你自己的品牌页面。这个操作经常被忽视，因为大家总觉得“CDN怎么会出错”，但源站宕机、SSL握手失败、回源超时等情况都会触发CDN的错误页面。

反向代理层面，如果你用Nginx做反向代理，而后端是另一台Nginx或者Apache，记得在反向代理配置里，把后端服务器返回的Server头也处理掉。proxy_pass默认会透传后端响应头，你需要在location块里加：

proxy_hide_header Server;

这样即使后端应用服务器没做好隐藏，反向代理层也能帮你把信息拦下来。

隐藏了响应头和错误页面，就安全了吗？还不够。你的前端静态资源路径、Cookie名称、甚至HTML注释都可能出卖你。比如WordPress站点，默认的/wp-content/路径、generator meta标签、以及很多插件留下的痕迹，都直接告诉别人这是什么系统、什么版本。

对于这类问题，需要做一次完整的“指纹清理”：

检查HTML源码里的meta标签，移除类似<meta name="generator" content="WordPress 5.8">这样的内容。

检查Cookie，很多框架会自动设置带有框架名称的Cookie，比如JSESSIONID就暴露了Java，PHPSESSID暴露了PHP。你可以在应用配置里修改Cookie名称，虽然不能完全隐藏技术栈，但至少增加了识别难度。

检查静态资源的默认路径，能改就改，不能改就用URL重写规则把默认路径映射到自定义路径上。

检查robots.txt文件，有时候这里面会无意中暴露后台路径或者CMS特征。

自定义错误页面本身，也要注意不要包含任何技术线索。不要在HTML注释里写“<!-- 404 error for nginx -->”这种话，不要用服务器端包含（SSI）动态生成内容时留下模板痕迹。就用最干净的HTML和CSS，甚至可以做成和网站其他页面风格一致的品牌页面，既提升了用户体验，又隐藏了技术细节。

隐藏版本号这件事，本质上是在提升攻击者的成本。没有绝对的安全，但当你把这些信息入口都堵上之后，攻击者的扫描器就得花更多时间去盲猜你的技术栈，而在这个过程中，他们更可能触发你的入侵检测系统，或者干脆转向下一个更容易的目标。安全防御，有时候就是比你的邻居跑得快一点。