必须优先隐藏X-Powered-By、Server、X-AspNet-Version、X-Application-Context、X-Runtime等后端敏感响应头，且proxy_hide_header须置于proxy_pass之后、仅在当前location/server块生效，不可删除Content-Length等关键头。
用 proxy_hide_header 移除静态响应头，是构建反向代理层基础安全防线的关键一步。它不加密、不过滤请求，但能快速抹掉后端暴露的技术指纹，让攻击者难以识别真实架构。核心在于精准屏蔽、位置正确、配合其他指令形成闭环。
哪些响应头必须优先隐藏
后端服务（如 Spring Boot、Express、ASP.NET）默认注入的头，是常见攻击面入口：
- X-Powered-By：直接暴露语言框架（如 Express、PHP、ASP.NET）
- Server（上游的）：显示 Tomcat、Apache、IIS 等后端服务器及版本
-
X-AspNet-Version、X-Application-Context：泄露 .NET 版本或 Spring Boot 环境（如
application:prod） - X-Runtime、X-Generator：暗示运行时类型或 CMS 系统（如 WordPress、Drupal）
- X-XSS-Protection、X-Frame-Options：若由 Nginx 统一管控安全策略，后端重复输出反而可能引发冲突
配置必须满足的三个硬性条件
该指令看似简单，但失效极常见，关键在执行逻辑：
WebChat Voice Proxy
下载
⚠️ 已弃用 — 该技能已拆分为两个独立技能，以提升模块化程度：**webchat-https-proxy**（HTTPS/WSS 反向代理）和 **webchat-voi...**
- 必须写在
proxy_pass之后，否则完全不生效 - 只在当前
location或server块内有效，http块中定义不会自动继承到子块 - 不能删除关键系统头：如
Content-Length、Set-Cookie、Location—— 这些需用proxy_cookie_path、proxy_redirect等专用指令处理
典型安全网关配置示例
以下是一个生产环境常用组合，兼顾清除、加固与可控性：
location /api/ {
proxy_pass http://backend-springboot/;
<pre class="brush:php;toolbar:false;"># ✅ 屏蔽后端敏感头（注意顺序：proxy_pass 后）
proxy_hide_header X-Powered-By;
proxy_hide_header Server;
proxy_hide_header X-AspNet-Version;
proxy_hide_header X-Application-Context;
proxy_hide_header X-Runtime;
# ✅ 关闭 Nginx 自身 Server 版本号（放在 http 或 server 块）
server_tokens off;
# ✅ 统一注入安全头（由 Nginx 主导，避免后端干扰）
add_header X-Content-Type-Options nosniff;
add_header X-Frame-Options DENY;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
# ✅ 修正跳转和 Cookie 路径（必要时）
proxy_redirect http://backend-springboot/ https://api.example.com/;
proxy_cookie_path /app/ /;}
验证是否真正生效
别依赖配置文件检查，实测才是唯一标准：
- 用
curl -I https://your-domain.com/api/test查看原始响应头 - 确认目标头（如
X-Powered-By、X-Application-Context）已消失 - 同时核对关键头（如
Content-Security-Policy、Set-Cookie）未被误删 - 注意：多个同名头（如两个
X-Trace-ID）会被全部屏蔽，如有追踪需求，需后端统一收敛
