Nginx的proxy_set_header不校验请求，仅设置转发头；安全实践需锁定Host为$proxy_host或固定值、用$remote_addr设X-Real-IP、禁用Origin/User-Agent等高危头、清除并重发可信X-Request-ID。
在 Nginx 中，proxy_set_header 本身不提供“校验”能力——它不检查、不比对、不拒绝请求，只负责设置或覆盖转发给后端的请求头。所谓“安全校验”，实际是指通过主动控制关键头部的值，切断攻击者利用恶意头注入、伪造上下文或误导后端逻辑的路径。
锁定 Host 头，阻断域名劫持链路
Host 头是多数攻击的起点。后端若依赖它生成重定向地址、回调 URL 或租户路由，而你又透传客户端输入，就等于把控制权交给了攻击者。
- 禁用所有透传写法：
proxy_set_header Host $host;和proxy_set_header Host $http_host;必须删除 - 推荐用
proxy_set_header Host $proxy_host;——值来自proxy_pass地址（如http://api.internal:8080），天然可信、与业务域名解耦 - 单后端场景可固定：
proxy_set_header Host api.internal;，彻底剥离外部影响 - 确认后端不依赖 Host 时，可清空：
proxy_set_header Host "";，但需实测兼容性
规范 X-Forwarded-* 类头，防止 IP 和协议误判
这些头常被后端用于权限判断、HTTPS 强制跳转或日志归因。若被伪造或叠加污染，可能绕过安全策略或引发无限重定向。
FastAPI Flask Proxy
下载
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
- 用真实连接方 IP 初始化：
proxy_set_header X-Real-IP $remote_addr;（首层防护必须这么做） - 避免链式污染：
proxy_set_header X-Forwarded-For $remote_addr;，而非$proxy_add_x_forwarded_for - 明确协议类型：
proxy_set_header X-Forwarded-Proto $scheme;，防止混合内容或跳转错误 - 禁用下划线解析：
underscores_in_headers off;，避免X_User_ID被误识别为X-User-ID
清除高风险头，切断 HTTPoxy 等链式污染
某些头对后端完全无用，却可能触发危险行为。例如 Proxy 头被 PHP/cURL 读作 HTTP_PROXY 环境变量，导致内网请求被劫持外发。
- 清空 User-Agent：
proxy_set_header User-Agent "";，减少指纹暴露 - 移除 Referer（如无需来源追踪）：
proxy_set_header Referer ""; - 禁用 Origin 透传：
proxy_set_header Origin "";，改由 Nginx 控制 CORS 响应 - 对 FastCGI 后端，还需补充：
fastcgi_param HTTP_PROXY "";、fastcgi_param HTTPS_PROXY "";、fastcgi_param ALL_PROXY "";
统一注入可信 Request-ID，规避日志与追踪风险
客户端传入的 X-Request-ID 可被伪造，干扰链路追踪、限流审计甚至辅助 CSRF 攻击。Nginx 不覆盖，而是丢弃并重发。
- 先清除旧值：
proxy_hide_header X-Request-ID;（确保不透传） - 再注入新值：
proxy_set_header X-Request-ID $request_id;（Nginx 内置唯一 ID） - 如需增强可追溯性，可用组合：
proxy_set_header X-Request-ID "$request_id-$hostname"; - 避免使用
$msec或$pid单独构造——熵不足、易碰撞
