Nginx 通过 proxy_hide_header 指令统一剥离指定响应头，需置于 proxy_pass 之后的 location 或 server 块内，支持静态头名删除（如 X-Powered-By），不支持正则或条件匹配，且不继承、不作用于 upstream 块。
Nginx 负载均衡器本身不能“智能判断”或“按内容剥离”响应头，但可以实现统一、确定性的响应头剥离——即对所有后端返回的指定响应头，无差别地从最终响应中移除。这是生产环境中最常用且最可靠的做法，核心靠 proxy_hide_header 指令。
✅ 明确哪些头能被统一剥离
proxy_hide_header 是 Nginx 原生支持的、专用于删除上游响应头的指令。它作用于响应头阶段，在响应发往客户端前生效，支持以下典型场景：
- 删除技术标识头：
X-Powered-By、X-AspNet-Version、Server（需配合server_tokens off） - 删除调试/内部头：
X-Debug-Info、X-Request-ID（若由后端重复生成，而你已在 Nginx 层统一注入） - 删除可能引发冲突的头：如
Access-Control-Allow-Origin（避免与add_header冲突）
⚠️ 注意：它只接受静态头名称，不支持正则、条件或值匹配。例如不能写
proxy_hide_header ~^X-.*，也不能只删X-User-ID且值为"test"的情况。
✅ 正确配置方式与位置
必须满足两个前提，否则无效：
- 指令必须写在含
proxy_pass的location或server块内 - 必须放在
proxy_pass之后（顺序敏感）
示例配置：
upstream api_backend {
server 10.0.1.10:8000;
server 10.0.1.11:8000;
}
server {
listen 443 ssl;
server_name api.example.com;
location /api/ {
proxy_pass http://api_backend;
# 统一剥离以下响应头（全部小写或首字母大写均可，Nginx 不区分大小写）
proxy_hide_header X-Powered-By;
proxy_hide_header X-AspNet-Version;
proxy_hide_header Server; # 配合 server_tokens off 才真正隐藏
proxy_hide_header X-Debug-Info;
# 同时可统一添加安全头（不受 proxy_hide_header 影响）
add_header X-Content-Type-Options nosniff always;
add_header X-Frame-Options DENY always;
}
}✅ 需要特别注意的几个细节
-
proxy_hide_header不继承：父server块设了，子location不自动生效，必须显式重复或用include复用 -
Server头默认已被 Nginx 隐藏，但若后端自己返回了Server: Apache，则需proxy_hide_header Server才能屏蔽 -
add_header和proxy_hide_header互不干扰：前者加新头，后者删旧头，可共存 - 对
Set-Cookie、Location、WWW-Authenticate等特殊头，proxy_hide_header仍有效，但更推荐用专用指令精细化控制（如proxy_cookie_domain、proxy_redirect）
❌ 常见错误做法（务必避开）
- 在
upstream块里写proxy_hide_header→ 无效，该指令不在 upstream 上下文生效 - 把它写在
proxy_pass之前 → Nginx 会忽略，不起作用 - 试图用
more_clear_headers（headers-more 模块）替代 → 可行但需额外编译，非原生，维护成本高 - 误以为
proxy_set_header能删响应头 → 它只设置请求头，对响应头完全无效
不复杂但容易忽略。
