Nginx中proxy_set_header需按需透传Host、X-Forwarded-Proto和客户端IP：Host用$http_host保留原始值，X-Forwarded-Proto用$scheme同步协议，IP需配合set_real_ip_from与real_ip_header精准识别并透传。
Nginx 中 proxy_set_header 的标准化输出，核心是按需透传、精准覆盖、作用域明确——不是堆砌所有头，而是针对真实链路和后端需求，只保留最关键的几项，并确保写法严谨、位置正确。
Host 头必须透传原始值
后端（如 Django、Spring Boot、Next.js）常靠 Host 做路由判断、生成绝对 URL 或校验域名白名单。若丢失或被覆盖，可能返回 400、404，或跳转到 localhost:8080 这类错误地址。
- 推荐写法：
proxy_set_header Host $http_host;
→ 完整保留客户端原始 Host（含端口与大小写），适合泛解析、多租户、灰度发布等场景 - 次选写法：
proxy_set_header Host $host;
→ 自动小写、去端口（如api.example.com:8443→api.example.com），适用于标准单域名部署 - 禁用写法：
proxy_set_header Host example.com;
→ 所有请求都硬编码为固定值，子域名、测试环境、API 版本路径全部失效
X-Forwarded-Proto 必须同步协议类型
当 Nginx 终止 HTTPS（SSL Termination），后端收到的是 HTTP 请求，但业务仍需知道用户实际走的是 HTTPS。否则会触发重定向循环、Secure Cookie 不生效、混合内容警告。
aperture: the L402 aware reverse proxy
下载
安装并运行 Aperture（Lightning Labs 的 L402 闪电反向代理），用于创建 L402 付费墙、配置付费 API 端点、为其他代理托管付费内容或测试 L402 认证流程。
- 标准写法：
proxy_set_header X-Forwarded-Proto $scheme;
→$scheme自动取http或https，无需条件判断 - 补充建议：搭配
X-Forwarded-Port $server_port;（尤其非标准端口如 8443） - 注意前提：仅在 Nginx 是唯一可信入口时信任该头；若前有 CDN，应确认其已设该头，Nginx 宜透传而非覆盖
客户端 IP 链路要分层处理
不能只靠 X-Real-IP 或 X-Forwarded-For 单独配置，必须配合 Nginx 的真实 IP 识别机制。
- 先让
$remote_addr变成真实 IP：set_real_ip_from 100.64.0.0/10; # 例如阿里云回源段 set_real_ip_from 203.208.60.1; # 某个 CDN 节点 IP real_ip_header X-Forwarded-For; real_ip_recursive on;
- 再透传：
proxy_set_header X-Real-IP $remote_addr;proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
→ 后者自动追加真实 IP 到已有链路末尾，避免覆盖上游原始值
配置位置与作用域必须严格限定
-
必须放在
location块内，且在proxy_pass之前 - 不要写在
http或server顶层——易被继承覆盖，也难适配不同 upstream 差异 - 同一 header 多次设置以最内层为准，避免重复或冲突
这些不是“最佳实践清单”，而是生产环境反复验证过的底线配置。只要 Host 和 Scheme 两项准确，IP 链路清晰，绝大多数后端框架就能正常工作。
