Nginx通过map指令配合proxy_set_header实现动态伪装，即根据请求变量（如$host、$http_user_agent等）动态设置上游请求头，需定义在http块中，支持正则与默认值，性能高效且可控。
利用 map 指令配合 proxy_set_header 实现“动态伪装”，本质是根据请求的某些变量（如域名、路径、来源 IP、User-Agent 等）动态设置上游服务器看到的请求头，比如 Host、X-Real-IP、User-Agent 或自定义头，从而让后端服务感知到不同的客户端特征。这不是“伪造”或绕过安全策略的手段，而是合理、可控的反向代理行为定制。
核心原理：用 map 构建动态映射关系
map 是 Nginx 的模块指令，用于基于一个源变量的值，查表生成另一个变量的值。它在配置加载时编译为高效查找结构，性能开销极低，且支持正则、通配符和默认值，非常适合做条件化赋值。
关键点：
- 必须定义在
http块中，不能写在server或location内； - 源变量可以是任意内置变量（如
$host、$http_user_agent、$arg_appid）； - 目标变量名由你自定义（如
$upstream_host、$fake_ua），后续可在proxy_set_header中引用； - 支持
~*（忽略大小写正则）、^~（前缀匹配）、default（兜底值）等语法。
常见动态伪装场景与配置示例
1. 动态设置 Host 头，适配多租户后端
不同子域指向同一套后端，但后端靠 Host 区分租户：
map $host $upstream_host {
default "default.tenant.example.com";
~*^(?<sub>.+)\.example\.com$ "$sub.tenant.example.com";
api.example.com "api.internal.svc";
}
然后在 location 中使用：
location / {
proxy_pass https://backend;
proxy_set_header Host $upstream_host;
proxy_set_header X-Forwarded-Host $host;
}
2. 根据 User-Agent 分流并伪装 UA
对移动端请求，向上游发送统一的“App 客户端”UA；PC 浏览器则保留原 UA 或设为桌面版：
map $http_user_agent $fake_ua {
default $http_user_agent;
"~*iPhone|Android|Mobile" "MyApp/5.2.0 (iOS; iPhone)";
"~*WeChat|MicroMessenger" "MyApp/5.2.0 (WeChat)";
}
再在 proxy 配置中启用：
CPA Update - Secure CLI Proxy API Maintenance
下载
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
proxy_set_header User-Agent $fake_ua;
3. 基于请求参数动态注入自定义 Header
例如通过 ?env=staging 参数，让后端识别当前流量来自预发环境：
map $arg_env $x_env_flag {
"staging" "staging";
"prod" "production";
default "unknown";
}
然后透传给后端：
proxy_set_header X-Env-Type $x_env_flag;
注意事项与避坑指南
以下细节直接影响伪装是否生效或引发问题：
-
map中的正则表达式需用双引号包裹，否则空格或特殊字符会解析失败； - 若源变量为空（如未带
User-Agent头），$http_user_agent值为空字符串，不会触发default—— 此时应显式匹配空值："" "default-ua"； -
proxy_set_header若重复出现同名 header（如写了两次Host），以最后一次为准；若想清空某 header，用proxy_set_header Host "";； - 涉及敏感信息（如 token、内部服务名）的动态值，避免直接暴露在日志中，可通过
log_format过滤掉对应变量； - 修改
map后必须重载 Nginx（nginx -s reload），它不支持运行时热更新。
验证与调试方法
确认伪装是否生效，推荐组合使用：
- 用
curl -v查看响应头及 Nginx 返回的原始请求信息（如有X-Debug类头）； - 在 upstream 服务侧记录收到的全部 headers（如 Node.js 的
req.headers、Python Flask 的request.headers）； - Nginx 自身开启 debug 日志（
error_log /path/to/debug.log debug;），搜索http header相关行； - 临时加一条
add_header X-Upstream-Host $upstream_host;到响应头，方便前端或 curl 直接观察。
不复杂但容易忽略的是变量作用域和默认行为。只要 map 定义正确、header 设置位置合理（必须在 proxy_pass 之前）、且无其他配置覆盖，动态伪装就能稳定工作。
