如何隐藏WordPress版本号？移除版本信息？-WordPress-PHP中文网

隐藏WordPress版本号主要通过修改主题functions.php文件和删除readme.html文件实现，能减少信息泄露、提升安全性并满足代码整洁需求。具体操作是将移除generator标签和去除CSS/JS文件中ver参数的代码添加到当前子主题的functions.php文件中，并删除根目录下的readme.html文件，从而有效隐藏WordPress版本信息，增强网站防护。

如何隐藏wordpress版本号？移除版本信息？

隐藏WordPress版本号主要通过修改主题的

functions.php

登录后复制

文件，或者删除根目录下的

readme.html

登录后复制

文件来实现。这能移除一些公开的版本信息，为网站增加一层薄薄的“伪装”。

解决方案

要彻底隐藏WordPress的版本信息，需要从几个不同的地方着手。最常见且有效的方法是修改主题的

functions.php

登录后复制

文件。

// 移除WordPress版本号，防止在head标签和RSS feed中泄露
remove_action('wp_head', 'wp_generator');
add_filter('the_generator', '__return_empty_string');

// 移除WordPress版本号，针对CSS和JS文件路径中的'ver='参数
function remove_wp_version_strings_from_styles_scripts($src) {
    if (strpos($src, 'ver=')) {
        $src = remove_query_arg('ver', $src);
    }
    return $src;
}
add_filter('style_loader_src', 'remove_wp_version_strings_from_styles_scripts', 9999);
add_filter('script_loader_src', 'remove_wp_version_strings_from_styles_scripts', 9999);

登录后复制

这段代码需要添加到你当前主题的

functions.php

登录后复制

文件中。如果你使用的是子主题，那最好添加到子主题的

functions.php

登录后复制

里，这样在主题更新时才不会丢失。

同时，别忘了删除WordPress安装根目录下的

readme.html

登录后复制

文件。这个文件直接就写明了你的WordPress版本。

为什么要隐藏WordPress版本号？安全考量还是强迫症作祟？

很多人问我，隐藏这个版本号到底有没有用？说实话，我个人觉得它更多的是一种“心理安慰”或者说“习惯性操作”，而非真正的铜墙铁壁。

从安全角度看，隐藏版本号确实能让一些自动化扫描工具或“脚本小子”在第一眼时无法直接获取你的WordPress版本。这就好比你家门口没挂门牌号，小偷路过时可能不会那么快知道你家是哪栋。但一个真正有心且技术过硬的攻击者，总有办法通过其他指纹（比如特定的CSS文件、JS文件、插件特征、错误信息等）来推断你的WordPress版本，甚至是你使用的插件和主题版本。所以，它不是一个安全漏洞的修复，而是一个信息泄露的缓解。它只是提高了那么一丁点攻击者的“门槛”，让他们需要多费点劲。

那为什么还要做呢？除了上面提到的那点微不足道的“安全提升”，我发现很多时候这是一种“强迫症”作祟。作为开发者或站长，我们总希望自己的网站代码尽可能地干净、简洁，不必要的元信息能少则少。看到HTML源码里那个

meta name="generator" content="WordPress 6.x.x"

登录后复制

，总觉得有点碍眼，就想把它去掉。这是一种追求极致的体现，也是对代码整洁度的一种坚持。

所以，我的观点是：隐藏版本号不能替代定期的更新、使用强密码、安装安全插件等核心安全措施。它只是一个锦上添花的小技巧，能做就做，不做也没什么大不了。但如果你像我一样，看到不必要的代码就想清理，那它就是值得一做的。毕竟，少一点不必要的信息暴露，总是好的。

手动修改代码隐藏版本号的具体步骤与注意事项

好吧，既然决定要动手，那我们来看看具体怎么操作。这部分会涉及到一点点代码，但别担心，很简单。

首先，你需要访问你WordPress站点的文件系统。这通常通过FTP客户端（比如FileZilla）或者你的主机控制面板（比如cPanel的“文件管理器”）来完成。

找到你当前激活主题的文件夹。路径通常是：

wp-content/themes/你的主题名/

登录后复制

。在这个文件夹里，你会找到一个名为

functions.php

登录后复制

的文件。这是我们主要修改的地方。

操作步骤：

备份！备份！备份！ 重要的事情说三遍。在修改任何主题文件之前，请务必备份
```
functions.php
```
登录后复制
文件。复制一份到本地电脑，或者直接在服务器上复制一份并重命名（比如
```
functions_backup.php
```
登录后复制
）。这是为了防止代码写错导致网站崩溃，你可以随时恢复。

简篇AI排版
AI排版工具，上传图文素材，秒出专业效果！

554

查看详情
用文本编辑器（比如Notepad++、VS Code，或者主机文件管理器自带的编辑器）打开
```
functions.php
```
登录后复制
文件。

将前面“解决方案”部分提到的代码粘贴到文件的末尾，在

?>

登录后复制

标签（如果存在的话）之前。如果文件末尾没有

?>

登录后复制

，直接粘贴到最后一行即可。

// 移除WordPress版本号，防止在head标签和RSS feed中泄露
remove_action('wp_head', 'wp_generator');
add_filter('the_generator', '__return_empty_string');

// 移除WordPress版本号，针对CSS和JS文件路径中的'ver='参数
function remove_wp_version_strings_from_styles_scripts($src) {
    if (strpos($src, 'ver=')) {
        $src = remove_query_arg('ver', $src);
    }
    return $src;
}
add_filter('style_loader_src', 'remove_wp_version_strings_from_styles_scripts', 9999);
add_filter('script_loader_src', 'remove_wp_version_strings_from_styles_scripts', 9999);

登录后复制

保存文件并上传覆盖原文件。

注意事项：

子主题优先： 如果你使用的是子主题，强烈建议把代码加到子主题的
```
functions.php
```
登录后复制
里。因为如果你直接修改父主题，那么当父主题更新时，你的修改会被覆盖掉，你就得重新来一遍。子主题则可以保留你的自定义修改。
语法错误： 粘贴代码时要小心，任何一个逗号、分号或括号的错误都可能导致“白屏死机”（WordPress Fatal Error）。所以，备份是你的救命稻草。
检查效果： 修改后，清空你的网站缓存（如果有的话），然后用浏览器访问你的网站，查看源代码（通常是Ctrl+U或右键“查看页面源代码”），搜索“generator”或“ver=”，看看是否还有WordPress的版本信息。

这个方法的好处是轻量、高效，不依赖任何插件。对我这种喜欢控制一切的站长来说，这是首选。

除了functions.php，还有哪些地方可能泄露WordPress版本信息？

你以为改了

functions.php

登录后复制

就万事大吉了？想得太美了！WordPress这个系统，在某些方面是相当“热情”的，总想把自己的信息展示出来。所以，除了我们在

head

登录后复制

标签里看到的那个

generator

登录后复制

元标签，还有几个地方也可能偷偷地“泄密”。

```
readme.html
```
登录后复制
文件： 这个是最大的“罪魁祸首”之一。当你安装WordPress时，根目录下会有一个
```
readme.html
```
登录后复制
文件，打开它，第一行就赫然写着“WordPress Version X.Y.Z”。这简直就是赤裸裸地告诉全世界你的版本号。解决方法很简单粗暴：直接删除它。是的，你没听错，删了它就行。这个文件对网站运行没有任何影响。
RSS/Atom Feed： 你的网站通常会有RSS或Atom订阅源（比如
```
你的域名/feed/
```
登录后复制
）。在这些Feed的XML结构里，WordPress也会添加一个
```
generator
```
登录后复制
标签，显示版本号。我们前面在
```
functions.php
```
登录后复制
里加的
```
add_filter('the_generator', '__return_empty_string');
```
登录后复制
这行代码，就是专门用来处理这个的。所以，如果你加了那段代码，这里应该也就清净了。
CSS和JavaScript文件中的版本查询参数： 你有没有注意到，WordPress加载的很多CSS和JS文件，它们的URL后面会跟着一个
```
?ver=X.Y.Z
```
登录后复制
这样的参数？比如
```
wp-includes/css/dashicons.min.css?ver=6.4.3
```
登录后复制
。这个
```
ver
```
登录后复制
参数主要是为了解决浏览器缓存问题，确保用户能加载到最新版本的文件。但它也无意中暴露了WordPress的核心版本，或者插件/主题的版本。前面
```
functions.php
```
登录后复制
里那段
```
remove_wp_version_strings_from_styles_scripts
```
登录后复制
函数就是为了移除这些
```
ver
```
登录后复制
参数的。移除后，URL会变成
```
wp-includes/css/dashicons.min.css
```
登录后复制
。这并不会影响文件的加载，只是移除了版本信息。
HTTP响应头（极少数情况）： 有些服务器配置或者特定的插件，可能会在HTTP响应头中添加关于WordPress的信息。这种情况比较少见，而且处理起来也更复杂，通常需要服务器层面的配置修改，超出了我们这里讨论的范畴。不过，作为知识点提一下，以防万一。
插件和主题自身的版本信息： 即使你隐藏了WordPress核心的版本号，你使用的某些插件或主题可能也会在它们自己的CSS、JS文件，或者HTML结构中，甚至是通过注释的方式，泄露它们自己的版本信息。这个就很难统一处理了，因为每个插件/主题的实现方式都不同。除非你真的有强迫症到极致，否则通常不会去深究这些。