proxy_hide_header是屏蔽后端敏感响应头最直接有效的手段，需置于proxy_pass之后、按行单独配置X-Powered-By、Server等头，配合server_tokens off和add_header才能完整防护。
用 proxy_hide_header 移除后端响应头中的敏感指纹，是构建反向代理安全防线最直接有效的手段之一。它不改内容、不加逻辑，只做“减法”——把不该暴露给客户端的信息干净地拦在网关层。
哪些头必须隐藏
后端服务（如 Spring Boot、Tomcat、Express）默认返回的响应头常含技术栈、环境、版本等信息，攻击者可据此定向利用漏洞。重点关注以下几类：
- X-Powered-By：暴露语言框架（如 Express、PHP、ASP.NET）
-
Server：后端真实服务器标识（如
Server: Apache/2.4.52），注意这仅屏蔽上游的 Server，Nginx 自身的需配合server_tokens off -
X-Application-Context：Spring Boot 常带
application:prod或profile:dev，泄露部署环境 - X-AspNet-Version、X-Debug-Token、X-Runtime：分别暴露 .NET 版本、调试开关、执行耗时，属高危信息
- X-XSS-Protection、X-Frame-Options：若由 Nginx 统一注入安全策略，后端重复输出易引发冲突或覆盖
正确写法与常见陷阱
该指令作用范围严格受限，配置错位就等于没配：
FastAPI Flask Proxy
下载
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
- 必须放在
proxy_pass之后，否则不生效 - 只在当前
location或server块内有效，http块中定义不会继承到子块 - 每个头需单独一行，不支持通配符或正则，大小写不敏感但建议标准写法（如
Server而非server） - 无法删除关键系统头：
Content-Length、Set-Cookie、Location等被 Nginx 保护，需用proxy_cookie_path或proxy_redirect处理 - 同名头出现多次（如两个
X-Trace-ID），会全部被移除
典型网关配置示例
以 Spring Boot 后端为例，在 API 路径下统一清理并加固：
location /api/ {
proxy_pass http://127.0.0.1:8080/;
<pre class="brush:php;toolbar:false;"># 屏蔽后端指纹
proxy_hide_header X-Powered-By;
proxy_hide_header X-Application-Context;
proxy_hide_header X-AspNet-Version;
proxy_hide_header X-Debug-Token;
proxy_hide_header Server;
# 补充统一安全头
add_header X-Content-Type-Options nosniff;
add_header X-Frame-Options DENY;
add_header X-XSS-Protection "1; mode=block";
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains";
# 关闭 Nginx 自身版本号（放在 server 或 http 块）
# server_tokens off;}
验证是否真正生效
别只看配置文件，实测才是唯一标准：
- 用
curl -I https://your-domain.com/api/test查看原始响应头 - 确认目标头（如
X-Powered-By、X-Application-Context）已完全消失 - 检查关键头未被误删（如
Content-Security-Policy、Set-Cookie仍存在） - 若使用 HTTPS，同时验证 HSTS、CSP 等安全头是否按预期注入
