proxy_hide_header 是响应头黑名单过滤器，必须置于 proxy_pass 后、每头单独一行，在 location 块内生效；需配合 add_header 统一注入安全头，并用 server_tokens off 关闭 Nginx 自身版本标识，最后通过 curl -I 实测验证。
proxy_hide_header 不是“白名单”，它本质是响应头的黑名单过滤器——只负责删，不负责留。真正构建安全响应头策略，得靠“删+加”组合：先屏蔽后端泄露的敏感头，再由 Nginx 主动注入统一、可控的安全头。
哪些响应头必须优先屏蔽
后端框架（Spring Boot、Express、ASP.NET、ThinkPHP 等）常默认输出技术标识字段，这些是攻击者侦察的第一手线索：
-
X-Powered-By：直接暴露运行环境，如
Express、PHP/8.2、ASP.NET Core 7.0 -
Server（上游）：后端 Apache/Tomcat/Nginx 的原始 Server 值，比如
Server: Apache/2.4.52 -
X-Application-Context：Spring Boot 默认带环境名，如
application:prod，泄露部署结构 - X-Runtime、X-Generator、X-AspNet-Version：暴露框架版本、CMS 类型或执行耗时，助攻击者匹配 CVE
-
重复或冲突的 CORS 头：如后端已写
Access-Control-Allow-Origin，Nginx 又透传 + 自己 add_header，会触发浏览器报错“multiple values”
正确写法：location 内、proxy_pass 之后
proxy_hide_header 生效有严格位置要求——它只作用于当前 location，且必须写在 proxy_pass 指令之后，否则完全不生效：
✅ 正确示例：
location /api/ {
proxy_pass http://127.0.0.1:8080/;
proxy_hide_header X-Powered-By;
proxy_hide_header X-Application-Context;
proxy_hide_header Server;
proxy_hide_header Access-Control-Allow-Origin;
proxy_hide_header Access-Control-Allow-Methods;
}
❌ 错误写法（放 proxy_pass 前、或写在 http 块顶层）：配置存在但无效，响应头照常透传。
注意：它无法删除 Content-Length、Set-Cookie、Location 这类关键系统头；要改 Cookie 路径或域名，请用 proxy_cookie_path 和 proxy_cookie_domain。
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
配合 add_header 实现“安全头主权”
删完不等于安全完成。应由 Nginx 统一注入标准化安全头，确保一致性与强制性：
- 用
add_header X-Content-Type-Options nosniff always;防止 MIME 类型嗅探 - 用
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;强制 HTTPS - 用
add_header X-Frame-Options DENY always;或add_header Content-Security-Policy "default-src 'self';"控制页面嵌套与资源加载 - 对 OPTIONS 预检请求单独处理，避免被后端逻辑干扰：
if ($request_method = 'OPTIONS') {<br> add_header Access-Control-Allow-Origin "*";<br> add_header Access-Control-Allow-Methods "GET, POST, OPTIONS";<br> add_header Access-Control-Allow-Headers "Content-Type, Authorization";<br> return 204;<br>}
别忘了关掉 Nginx 自身的 Server 版本号
proxy_hide_header 只能干掉后端的 Server，对 Nginx 自己输出的 Server: nginx/1.24.0 无效。要彻底隐藏，必须在 http 或 server 块中加：
server_tokens off;
该指令全局生效，建议放在 http 块顶部。若需进一步伪装，可搭配 more_set_headers 'Server: WebAccelerator';（需安装 headers-more 模块）。
验证是否真生效，唯一方式是实测：curl -I https://your-domain.com/api/test，逐行比对响应头变化——既确认敏感头消失，也确保关键安全头未被误删或覆盖。
