ignore_invalid_headers 控制 Nginx 是否忽略非法 HTTP 请求头名：on 时静默丢弃并继续处理，off 时立即返回 400；仅校验 header 名合规性（RFC 7230），不影响 header 值，也不替代内容过滤。
ignore_invalid_headers 是 Nginx 的一个指令，用于控制是否忽略客户端发送的格式不合法的 HTTP 请求头（例如含空格、控制字符、非 ASCII 字符或不符合 RFC 7230 规范的 header 名）。它本身不“过滤”请求，而是决定 Nginx 遇到非法 header 时是直接拒绝请求（返回 400 Bad Request），还是跳过该 header 继续处理。
作用机制：开启后跳过非法 header，而非拦截请求
默认情况下（ignore_invalid_headers on），Nginx 会静默丢弃无法解析的请求头字段，请求仍可正常进入 location 匹配和后端转发流程。若设为 off，只要发现任一 header 名不符合 token 规则（如包含空格、冒号、斜杠、控制字符等），Nginx 就立即返回 400，并不记录到 access_log（除非用 custom log_format 显式记录 $status）。
- 只影响 header 字段名（如
User-Agent、X-Forwarded-For），不影响 header 值的内容校验 - 不识别自定义 header 中的语义错误（比如
X-Auth-Token: invalid!!仍会被透传） - 常见触发场景：恶意扫描器伪造 header（
Host: example.com\r\nX-Scan: 1）、旧版客户端拼写错误（Contetn-Type）、编码异常的中文 header 名（极少，因 RFC 禁止）
典型配置方式与位置
该指令可在 http、server 或 location 块中使用，建议在 http 块统一设置，避免遗漏：
http {
ignore_invalid_headers off; # 更严格：非法 header 直接拒收
# ignore_invalid_headers on; # 默认值，静默忽略
...
}- 设为 off 可增强安全性，防止某些 header 注入类绕过（如干扰 WAF 解析逻辑）
- 生产环境慎用 off：部分合规性差的 IoT 设备、老旧 SDK 可能发送轻微违规 header，导致大量 400
- 搭配
log_format和$invalid_header变量（需 patch 或新版 OpenResty）可记录具体哪个 header 出问题，但原生 Nginx 不提供该变量
它不能替代真正的请求头过滤
如果目标是主动拦截含特定非法内容的请求（如 header 值含 SQL 关键字、script 标签、超长值等），ignore_invalid_headers 完全不适用。应使用：
-
map+if判断 $http_* 变量（注意 if 在 location 外不推荐） - OpenResty 的 Lua 模块（
ngx.req.get_headers()+ 正则匹配） - 外部 WAF（如 ModSecurity）做深度 header 内容检测
- Nginx Plus 的
auth_request模块对接鉴权服务做 header 校验
验证是否生效的小技巧
用 curl 发送含非法 header 名的请求测试：
curl -H "User Agent: test" http://your-domain/ # 空格导致非法字段名 curl -H "Host: a.com" -H "X-Test:1" http://your-domain/ # 合法，无影响
- 若
ignore_invalid_headers on（默认）：请求成功，User Agent被忽略，$http_user_agent 为空 - 若
off：返回 400，响应体为空，access_log 中 status=400 - 注意：curl 自动修正部分非法 header（如首字母大写、空格），可用
printf+nc构造原始请求更准确
