proxy_set_header用于准确传递原始客户端连接上下文信息，包括X-Real-IP/X-Forwarded-For、X-Forwarded-Proto、Host等关键头，需逐层追加而非覆盖，并清除hop-by-hop头以保障下游正确识别来源与协议。
在多层代理（如 Nginx → Nginx → 应用服务）场景中，proxy_set_header 不是用来“保持连接”，而是用来**准确传递原始客户端的连接上下文信息**，比如真实 IP、协议类型、主机名等。HTTP 本身是无状态的，连接生命周期由 TCP 层和 HTTP Connection 头控制；而 proxy_set_header 的作用是在请求转发链路中补全或修正被代理抹除的关键字段，避免下游服务误判来源。
必须透传的核心头信息
若不显式设置，Nginx 默认会丢弃或重写部分请求头。以下三项是多层代理中最常遗漏、也最关键的：
-
真实客户端 IP：用
proxy_set_header X-Real-IP $remote_addr;或更稳妥的X-Forwarded-For追加模式（proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;），确保后端能拿到最外层真实 IP，而非上一跳代理的内网地址。 -
原始协议与端口：用
proxy_set_header X-Forwarded-Proto $scheme;和proxy_set_header X-Forwarded-Port $server_port;，让后端生成正确 HTTPS 链接或做安全跳转判断。 -
原始 Host 域名：用
proxy_set_header Host $host;（不是$http_host），防止因代理修改 Host 导致虚拟主机路由失败或证书校验异常。
避免头信息污染与覆盖
多层代理中，每个中间节点都可能添加自己的 X-Forwarded-* 头。若简单覆盖，会丢失上游信息；若不做处理，又可能被伪造。建议：
CPA Update - Secure CLI Proxy API Maintenance
下载
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
- 首层入口代理（面向公网）使用
$remote_addr初始化X-Forwarded-For；后续每层只追加，不覆盖 —— 这正是$proxy_add_x_forwarded_for的设计意图。 - 对敏感头如
Authorization或Cookie，除非业务明确需要，否则不要用proxy_set_header转发，避免越权泄露。 - 禁用默认继承：Nginx 默认会把客户端发来的某些头（如
Connection、Keep-Alive）直接透传，但这些头只对当前跳有效。可在配置中显式清除：proxy_pass_request_headers off;后再按需设置，更可控。
配合 Connection 头管理长连接行为
Connection: keep-alive 是逐跳（hop-by-hop）语义，不跨代理生效。Nginx 默认会处理并维护与上游的长连接池，但需注意：
- 确保
proxy_http_version 1.1;已启用，否则 HTTP/1.0 下默认短连接。 - 用
proxy_set_header Connection '';清空客户端带的Connection头，防止它被错误透传到上游，干扰 Nginx 自身的连接复用策略。 - 通过
keepalive指令（如upstream { keepalive 32; }）配置与后端的空闲连接保活数，这才是真正影响吞吐的关键。
验证是否生效的简易方法
在最终应用服务中打印全部请求头，重点检查：
-
X-Forwarded-For是否包含多个 IP（如a.b.c.d, x.y.z.w），且最左为公网客户端 IP； -
X-Forwarded-Proto是否为https（即使 Nginx 是 HTTPS 入口，后端收到的可能是 HTTP）； -
Host是否与用户实际访问域名一致； -
Via头是否存在且含 Nginx 标识（Nginx 默认添加，可确认代理链存在）。
