Nginx代理链中X-Forwarded-*类头由首跳自动注入并维护，禁止被upstream或rewrite意外覆盖；应避免显式赋值为空、伪造值或错误变量，统一采用最小声明策略，仅对单层代理设proxy_set_header X-Forwarded-For $remote_addr，多层则用$proxy_add_x_forwarded_for。
避免在动态扩展 Nginx 运行时拓扑时覆盖系统保留的转发方法，核心是守住“转发行为不可劫持”这条边界——X-Forwarded-* 类头字段（尤其是 X-Forwarded-For、X-Forwarded-Proto、X-Forwarded-Host）由 Nginx 在代理链首跳自动注入并维护，不应被 upstream 或 rewrite 规则意外重写或清空。
明确哪些头是系统保留、禁止覆盖
Nginx 在启用 proxy_pass 时，会默认设置以下头：
- X-Forwarded-For：追加客户端真实 IP（若未设 proxy_set_header X-Forwarded-For，则用 $remote_addr；若已设但值为空或非法，Nginx 仍会补上）
- X-Forwarded-Proto：根据当前请求协议（$scheme）自动设为 http 或 https
- X-Forwarded-Host：取自原始 Host 请求头（$host）
- X-Real-IP：通常由 realip 模块或显式 set 设置，不属于 proxy 自动管理范畴，但常被误当作可覆盖项
这些头一旦被 proxy_set_header 显式赋值为固定字符串、空值或错误变量（如 $http_x_forwarded_for），就可能切断信任链，导致后端鉴权失败、HTTPS 降级、IP 白名单失效等盲区故障。
动态拓扑中安全扩缩容的操作守则
新增节点、调整 upstream、注入新 location 时，必须规避三类高危动作：
- 不写
proxy_set_header X-Forwarded-For ""或proxy_set_header X-Forwarded-For $http_x_forwarded_for—— 后者会继承上游伪造值，破坏可信 IP 链 - 不在 rewrite 或 map 块中修改 $http_x_forwarded_for 变量并用于 proxy_set_header —— 动态拼接易引入空格、重复 IP、格式错乱
- 不把
proxy_set_header Host $host改成proxy_set_header Host $http_host后又删掉 Host 头 —— 这会导致 X-Forwarded-Host 生成逻辑异常
用白名单机制锁定关键头行为
对所有参与动态拓扑的 server 或 location 块，统一采用“最小显式声明”策略：
- 只设置真正需要覆盖的头，例如：
proxy_set_header X-Request-ID $request_id; - 对保留头，要么完全不声明（交由 Nginx 默认行为），要么显式还原其语义：
proxy_set_header X-Forwarded-For $remote_addr;（仅适用于单层代理） - 在全局 http 块中定义安全基线：
proxy_set_header X-Forwarded-Proto $scheme;和proxy_set_header X-Forwarded-Host $host;，后续各层级不再重复覆盖
上线前必做的两项验证
每次拓扑变更 reload 前，执行：
- 用
curl -H "X-Forwarded-For: 1.2.3.4" http://test/发起测试请求，检查响应中是否出现双写 IP（如X-Forwarded-For: 1.2.3.4, 192.168.1.100）—— 若只有后者，说明原始头被丢弃；若出现逗号分隔且含非法段，说明被污染 - 检查后端 access log 中的 remote_addr 是否始终为 Nginx 的出向 IP（而非客户端 IP）—— 若混入客户端 IP，说明 realip 模块与 XFF 处理逻辑冲突，需核查 set_real_ip_from 和 real_ip_header 配置位置
不复杂但容易忽略
