要彻底隐藏后端Server头，必须三步协同：server_tokens off禁用Nginx自身版本标识；proxy_hide_header Server屏蔽透传；proxy_set_header Server ""强制清空残留。单独使用proxy_hide_header Server通常无效。
想靠 proxy_hide_header Server 单独删掉后端的 Server 头，大概率会失效——这不是配置写错了，而是 Nginx 的响应头处理机制决定的。真正管用的做法是三步协同：让后端不发、让 Nginx 不透传、再主动清空残留。
为什么 proxy_hide_header Server 经常没反应
Nginx 把 Server 头归为“受信响应头”，默认优先保留，即使写了 proxy_hide_header Server，也可能被自动恢复或与 Nginx 自身头混淆。尤其当后端是 Apache、Tomcat 或 Spring Boot 时，它们主动输出的 Server: Apache-Coyote/1.1 或 Server: nginx/1.22.1 很容易绕过隐藏逻辑。
精准移除的三个关键动作
必须同时完成以下三项，缺一不可：
-
关闭 Nginx 自身版本标识：在
http或server块中加server_tokens off;，防止它补上自己的Server: nginx/xxx -
屏蔽后端透传的 Server 头：在
location块中、proxy_pass之后添加proxy_hide_header Server; -
强制覆盖残留值：在同一 location 中加
proxy_set_header Server "";（设为空）或proxy_set_header Server "MyApp";（设为自定义）
典型安全配置片段
以下是一个可直接复用的 location 示例：
location / {
proxy_pass https://backend.internal;
proxy_http_version 1.1;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
# 关键三行
proxy_hide_header Server;
proxy_set_header Server "";
server_tokens off; # 此处生效范围为当前 server，推荐放 http 块更稳妥
}
验证是否真生效
别只看配置文件，执行命令实测：
- 重载配置：
sudo nginx -t && sudo systemctl reload nginx - 检查响应头：
curl -I https://your-domain.com - 确认结果中：
– 没有Server:行；
– 或仅出现你设定的值（如Server: MyApp）；
– 同时确保X-Powered-By、X-AspNet-Version等其他敏感头也已一并处理
