Nginx可通过自定义请求头（如X-Forward-To）配合map和proxy_pass实现条件化类正向代理，仅支持HTTP/HTTPS，需校验目标地址、限制来源、禁用缓存并透传Host头以保障安全与可用性。
nginx 本身不原生支持正向代理（即客户端通过 nginx 访问外部网站），但可通过巧妙利用 $http_proxy 请求头 + proxy_pass 动态转发，实现轻量级、条件化的“类正向代理”行为。注意：这不是标准正向代理（如 squid 或 nginx 的 CONNECT 方法代理），而是基于 HTTP 头解析的反向代理变体，适用于内网服务按需透传请求到外部目标。
理解 $http_proxy 的作用机制
$http_proxy 是 nginx 自动提取的客户端请求头 Proxy（注意大小写）的值（RFC 7230 中已废弃，现代浏览器基本不发送），更常见且实用的是监听自定义头，如 X-Forward-To 或复用 Host。实际中，$http_proxy 很少被客户端设置，因此建议明确改用可控的请求头，例如 $http_x_forward_to。
- nginx 不会自动读取系统环境变量
HTTP_PROXY，$http_proxy仅对应请求头Proxy: - 若想让 curl 或应用显式指定目标，应使用
-H "X-Forward-To: https://api.example.com" - 该方式只适用于 HTTP/HTTPS（非 CONNECT 隧道），无法代理 WebSocket 或 HTTPS 原始 TLS 握手
配置动态 proxy_pass 转发规则
核心是用变量驱动 proxy_pass，并配合校验防止开放代理滥用：
- 启用
underscores_in_headers on;才能接收含下划线的自定义头（如X-Forward-To） - 用
map指令预处理目标地址，过滤非法 scheme 和域名，避免 SSRF - 示例 map 规则：
map $http_x_forward_to $upstream_target { ~^https?://([a-zA-Z0-9.-]+)(:[0-9]+)?(/.*)?$ $http_x_forward_to; default ""; } - 在 location 中使用：
proxy_pass $upstream_target;，nginx 会将其作为完整 URL 解析并转发
补充关键安全与功能配置
仅转发不够，还需控制行为、隐藏痕迹、保障可用性：
- 禁用缓存：
proxy_buffering off;+proxy_cache off;，避免响应污染 - 透传原始 Host：
proxy_set_header Host $http_host;（或更安全地设为 $1 从正则捕获） - 限制来源 IP：
allow 192.168.10.0/24;+deny all;，防止公网滥用 - 添加超时和重试：
proxy_connect_timeout 5s;，proxy_read_timeout 30s; - 记录转发目标便于审计：
log_format proxy_log "... $http_x_forward_to $status";
客户端调用示例与验证
服务端配置就绪后，客户端可直接发起带目标头的请求：
- curl 示例：
curl -H "X-Forward-To: https://httpbin.org/get" http://nginx-proxy/
- 返回内容应来自 httpbin，且响应头中
X-Forward-To不会透传给上游（需显式proxy_pass_request_headers off;或用proxy_hide_header屏蔽） - 用
tcpdump或 nginx access log 确认 upstream_target 是否解析正确、是否触发 deny 规则 - 错误场景：目标域名未在白名单、URL 格式非法、超时，会返回 502/400/403，需结合 error_log 排查
