Как уже было упомянуто, хеш можно убрать при момощи javascript, изменив свойство window.location.hash. Сервер не сможет убрать хеш, поскольку он не включается браузером в параметры запроса и, соответственно, не отправляется на сервер (в целом, единственный способ прислать хеш серверу — вручную добавить его через javascript в качестве одного из параметров перед отправкой запроса). Более того, даже если сервер будет знать, что в запросе присутствует хеш, в общем случае он все равно не сможет убрать хеш из параметра запроса (через redirect response), поскольку согласно спецификации w3c браузер обязан автоматически добавлять хеш (fragment identifier) к строке запроса после обработки редиректа (http://www.w3.org/TR/cuap#uri).