强制缓存含误设Set-Cookie的响应，需用proxy_ignore_headers Set-Cookie让Nginx忽略该头以启用缓存，并配proxy_hide_header Set-Cookie防止透传，再通过X-Cache-Status验证命中。
要强制缓存那些被后端误加了 Set-Cookie 的响应，关键不是“删掉”这个头，而是让 Nginx 在缓存决策时忽略它——因为默认行为是：只要上游响应带 Set-Cookie，Nginx 就直接不缓存。这时 proxy_ignore_headers Set-Cookie 就是精准解法。
确认是否真属于“误设”场景
先排除安全风险：检查响应体和其余响应头，确保该响应确实不含用户私有数据（比如 session ID、CSRF token、登录态标识等）。常见安全无害的典型例子包括：
- 未登录首页返回一个匿名跟踪用的
Set-Cookie: _ga=...（仅用于统计） - 静态资源接口（如
/api/config）为兼容旧逻辑返回了临时 Cookie，但内容本身是全局只读的 JSON - Next.js 的
/_next/static/资源被框架自动注入了Set-Cookie，但实际不依赖会话
基础配置写法（必须满足的条件）
该指令只在启用缓存的 location 块中生效，且必须写在 proxy_pass 之前：
proxy_pass http://backend;
proxy_cache my_cache;
proxy_cache_valid 200 302 10m;
proxy_ignore_headers Set-Cookie;
}
- 不能写在
http或server块顶层（除非该块内所有 location 都明确启用了缓存） - 字段名严格区分大小写，必须写
Set-Cookie，不能写set-cookie或Set-cookie - 多个头用空格分隔，例如：
proxy_ignore_headers Set-Cookie Cache-Control;
配套防护措施（避免缓存污染）
忽略 Set-Cookie 后，Nginx 会缓存响应，但客户端仍可能收到这个头——这会导致浏览器错误地保存或发送不该有的 Cookie。因此建议同步隐藏：
- 加一行
proxy_hide_header Set-Cookie;，阻止该头透传给客户端 - 禁用
proxy_cache_use_stale updating，防止在后台更新缓存时，旧缓存被错误复用（尤其当后端偶发返回含敏感 Cookie 的响应时） - 用
add_header X-Cache-Status $upstream_cache_status;辅助验证缓存是否真正命中
验证是否生效
发起两次相同请求，观察响应头：
- 首次响应头含
X-Cache-Status: MISS→ 表示进入缓存流程 - 第二次响应头含
X-Cache-Status: HIT→ 说明已成功缓存，且未因Set-Cookie被跳过 - 同时检查响应中已没有
Set-Cookie头 → 确认proxy_hide_header生效
