proxy_hide_header Set-Cookie仅在Nginx反向代理场景下生效，需配合proxy_pass使用，应在特定location块中配置以精准移除敏感路径的Set-Cookie头，避免影响需会话的其他路径。
要通过 proxy_hide_header 移除后端响应中的 Set-Cookie 头，从而防止敏感页面（如静态资源页、公开 API 接口）意外携带会话 Cookie，关键在于：该指令仅在 Nginx 作为反向代理时生效，且必须配合 proxy_pass 使用，不能用于普通静态服务或非代理上下文。
确认使用场景是否匹配
proxy_hide_header Set-Cookie; 只对 Nginx 从上游服务器（如 Node.js、PHP-FPM、Java 应用）收到的响应头起作用。如果你的请求没经过 proxy_pass（例如直接 try_files 返回本地文件），该指令完全无效。
- ✅ 正确场景：Nginx 接收用户请求 → 转发给后端服务（如
http://127.0.0.1:3000）→ 后端返回含Set-Cookie的响应 → Nginx 在转发给客户端前将其移除 - ❌ 错误场景：Nginx 直接返回本地 HTML/JS/CSS 文件，或后端本身不设
Set-Cookie，此时该指令无实际效果
在 location 块中精准配置
为保障特定页面（如 /public/ 下的资源或 /api/health 等无状态接口）安全，应将 proxy_hide_header 放在对应的 location 块内，避免全局误删其他需要 Cookie 的路径。
示例配置：
location /public/ {
proxy_pass http://backend;
proxy_hide_header Set-Cookie;
proxy_hide_header X-Powered-By;
}
- 该配置只对以
/public/开头的请求生效，不影响/login或/dashboard等需维持会话的路径 - 可叠加隐藏其他敏感头（如
X-Powered-By），减少信息泄露风险 - 注意：若后端使用了多级重定向（302），而重定向响应也含
Set-Cookie，该指令同样生效
注意与 proxy_cookie_* 指令的区别
proxy_hide_header Set-Cookie 是“彻底删除”，不参与任何 Cookie 逻辑；它和以下指令无关，不可混用：
-
proxy_cookie_path和proxy_cookie_domain：用于改写 Cookie 的Path或Domain属性，不删除头 -
proxy_ignore_headers Set-Cookie：该指令不存在 —— Nginx 不支持ignore_headers作用于Set-Cookie，仅对Expires、Cache-Control等缓存头有效 - 若需更精细控制（如仅删除特定名称的 Cookie），需用
sub_filter或 Lua 模块（如ngx_http_lua_module），但复杂度显著上升
验证是否生效
部署后务必用工具检查响应头是否真的不含 Set-Cookie：
- 命令行：
curl -I https://yoursite.com/public/sample.html，观察输出中是否还有Set-Cookie:行 - 浏览器开发者工具 → Network → 查看对应请求的 Response Headers 面板
- 注意：如果后端设置了
HttpOnly或Secure等属性，只要头被隐藏，这些属性一并消失，不会残留部分字段
