proxy_hide_header可精准移除后端敏感响应头如X-Powered-By、Server等，但需置于proxy_pass之后、仅在当前location/server块生效，且不支持通配符；配合server_tokens off、proxy_set_header Server ""及add_header等才能实现完整安全头治理。
直接用 proxy_hide_header 可以精准移除后端返回的敏感响应头，比如 X-Powered-By、Server（后端的）、X-AspNet-Version 等暴露技术栈的字段。它不改响应体，也不影响 Nginx 自己加的头——想隐藏 Nginx 的 Server 版本号，还得额外配 server_tokens off。
哪些头必须优先隐藏
后端服务（Spring Boot、Express、ASP.NET、PHP 等）常默认注入标识性响应头，这些是攻击者侦察的第一手信息：
-
X-Powered-By：暴露语言/框架及版本，如
Express、PHP/8.1 -
X-Application-Context：Spring Boot 常带环境名，如
application:prod - X-AspNet-Version 或 X-Generator：泄露 .NET 或 CMS 类型与版本
-
Server（后端的）：如
Apache/2.4.52、Tomcat/9.0.83，注意这不是 Nginx 自身的Server - X-Runtime、X-Debug-Token：可能暴露运行耗时或调试开关状态
正确配置的关键细节
这个指令看似简单，但位置和组合方式决定是否真正生效：
Bailian Usage Proxy
下载
阿里百炼大模型平台多人共享账号用量统计代理服务。解决公司共用账号时无法区分个人用量的问题。适用场景：1)部署用量统计代理；2)统计多人Token用量和调用次数；3)管理大模型API调用配额。
- 必须写在
proxy_pass之后，否则不生效 - 只在当前
location或server块内有效，不能从http块继承，子块需单独写 - 每行只能屏蔽一个头，不支持逗号分隔或通配符，大小写不敏感但建议标准写法（如
Server） - 多个同名头（如两个
X-Trace-ID）会被一并屏蔽 - 无法屏蔽
Content-Length、Set-Cookie、Location等关键协议头——它们受 Nginx 内部保护，需用proxy_cookie_path或proxy_redirect单独处理
完整安全响应头治理组合方案
单靠 proxy_hide_header 不够，实际需配合其他指令构建闭环：
- 先清理后端透传头：
proxy_hide_header X-Powered-By;proxy_hide_header X-Application-Context;proxy_hide_header Server; - 关闭 Nginx 自身版本标识：
server_tokens off;（放在http或server块） - 主动清空残留
Server头（更可靠）：proxy_set_header Server ""; - 统一添加安全头（避免后端重复或冲突）：
add_header X-Content-Type-Options nosniff;add_header Strict-Transport-Security "max-age=31536000; includeSubDomains"; - 修正跳转与 Cookie 路径：
proxy_redirect http://internal/ https://api.example.com/;proxy_cookie_path /app/ /;
验证是否真的生效
别只信配置文件，必须实测确认：
- 执行命令：
curl -I https://your-domain.com/api/test - 检查输出中目标头（如
X-Powered-By）是否已消失 - 确认没误删关键头（如
Content-Security-Policy），除非你显式写了proxy_hide_header - 特别注意错误页（4xx/5xx）：后端渲染的 HTML 页面可能仍含原始
Server字段，需关掉后端调试模式 + 自定义 Nginx 错误页
