ignore_invalid_headers 仅决定是否丢弃含非法字符（如下划线、控制符）的请求头，不拦截请求也不返回错误；设为 on 时丢弃，off 时保留并尝试解析；它非安全机制，防攻击需用 map+if 或 WAF。
ignore_invalid_headers 是 Nginx 在 http 块（或 server 块）中用于控制是否忽略客户端发送的非法 HTTP 请求头字段的指令。它**不拦截请求，也不返回错误**，只是决定是否将含非法字符（如空格、控制字符、下划线等）的请求头丢弃或保留。
它实际做什么
当客户端发送类似 My-Header: value 的标准头，Nginx 默认正常接收；但如果发的是 My_Header: value（含下划线），Nginx 默认会认为该头“非法”，并根据 ignore_invalid_headers 的值决定行为：
- 设为
on（默认）：直接丢弃该请求头，后续$http_my_header变量为空，不会参与 rewrite、proxy_pass 或日志记录 - 设为
off：保留该头（即使含下划线或特殊字符），Nginx 尝试解析并映射为变量（如$http_my_header可能取到值）
为什么不能用它来“拦截非法头”
这个指令设计目的不是安全过滤，而是兼容性处理。它不具备拒绝请求的能力：
- 即使头被忽略，请求仍会正常进入 location 匹配、proxy_pass 或 PHP-FPM 等后端
- 无法阻止恶意头（如
X-Forwarded-For: <script>...</script>）——这需要靠map+if+return 400或 WAF 实现 - 下划线在 header 中被默认禁止，是因为 CGI 协议会把下划线转为小写分隔符，可能引发变量污染（如
HTTP_PROXY被覆盖）
想真正拦截非法头？这样配
若需拒绝含非法字符的请求头（例如含空格、控制字符、非 ASCII 或特定危险字段），应结合 map 和 if 主动校验：
map $http_user_agent $bad_header {
~*[[:cntrl:]\s] 1; # 含控制字符或空白
~*_ 1; # 含下划线（可选）
default 0;
}
<p>server {
if ($bad_header) {
return 400 "Invalid header detected";
}
...
}注意：if 在 location 外可用，但慎用于复杂逻辑；更健壮的方式是用 OpenResty 或前置 WAF（如 ModSecurity）做头字段正则校验。
常见配置建议
- 生产环境建议保持
ignore_invalid_headers on（默认），避免因客户端乱传下划线头导致 CGI 变量污染 - 调试时可临时设为
off+ 开启log_format记录原始头，确认问题来源 - 不要依赖它防攻击；header 注入、CRLF、恶意代理头等必须用显式规则或专业防护模块拦截
