我认为这是由PHP.ini中的expose_php设置控制的：

expose_php = off

决定PHP是否可以暴露它安装在服务器上的事实（例如通过将其签名添加到Web服务器头）。它在任何方面都没有安全威胁，但它可以确定您是否在服务器上使用PHP。
没有直接的安全风险，但正如大卫C所指出的，公开一个过时的（可能是脆弱的）PHP版本可能会邀请人们尝试攻击它。

header_remove("X-Powered-By");

https://secure.php.net/manual/en/function.header-remove.php

如果您无法禁用 expose_php 指令来屏蔽PHP的多话（需要访问 * php.ini *），您可以使用Apache的Header指令来删除头字段：

Header unset X-Powered-By

if (function_exists('header_remove')) {
    header_remove('X-Powered-By'); // PHP 5.3+
} else {
    @ini_set('expose_php', 'off');
}

如果你可以访问php.ini，设置expose_php = Off。

尝试在发送头之前添加一个header（）调用，例如：

header('X-Powered-By: Our company\'s development team');

无论php.ini中的expose_php设置如何

如果使用FastCGI，请尝试：

fastcgi_hide_header X-Powered-By;

要隐藏X-Powered-By：PHP/7.x.x，如果您使用的是共享主机，VPS，云服务器，则在.htaccess文件中添加以下代码

Header always unset X-Powered-By
Header unset X-Powered-By

适用于：Wordpress, Codeigniter, Laravel, Php

这个解决方案对我很有效：）
请在脚本中添加以下行并检查。
可能不需要Ngnix / Apache等级别设置。

header("Server:");