要屏蔽后端系统拓扑探测，需从响应头、Server标识、错误页面、HTTP方法与路径四层面同步收敛：屏蔽X-Powered-By等敏感头；用server_tokens off和proxy_set_header Server ""彻底清除Server字段；自定义404/5xx页面并关闭后端调试；禁用非标准HTTP方法及敏感路径访问。
要屏蔽针对后端系统拓扑架构的探测，核心是隐藏技术指纹、切断扫描器可利用的线索链，而不是单纯拦截 IP 或封请求。攻击者用 nuclei、Nikto、WhatWeb 等工具批量抓取响应头、错误页、HTTP 方法行为、重定向路径等信息，拼凑出你用的是 Spring Boot 还是 Django、后端是 Tomcat 还是 Gunicorn、环境是 dev 还是 prod。配置必须从响应头、错误页面、协议行为、服务标识四个层面同步收敛。
精准过滤敏感响应头
这些头是扫描器识别后端的第一手证据，必须在 location 块内、proxy_pass 后逐行屏蔽：
-
proxy_hide_header X-Powered-By;—— 暴露 PHP/Express/Spring Boot 等框架 -
proxy_hide_header Server;—— 后端真实服务器（如gunicorn/21.2.0），不是 Nginx 自身的 Server -
proxy_hide_header X-Application-Context;—— Spring Boot 默认返回application:prod，直接暴露框架+环境 -
proxy_hide_header X-Runtime;、proxy_hide_header X-AspNet-Version;、proxy_hide_header X-Generator;—— 分别指向 Rails、.NET、WordPress 等技术栈 -
proxy_hide_header X-Debug-Token;、proxy_hide_header X-Trace-ID;—— 若不需透传给前端，必须移除，避免关联内部日志或链路追踪系统
注意：每行只写一个头；不能写在 proxy_pass 前面；不能用逗号分隔；http 或 server 块中声明不会继承到子 location。
清除所有 Server 标识残留
仅靠 proxy_hide_header Server 不够，Nginx 可能自动补上或后端重置该头：
- 全局关闭 Nginx 自身版本号：
server_tokens off;（放在http或server块） - 强制清空 Server 头值：
proxy_set_header Server "";（与proxy_pass同 location，且写在其后）
这两步叠加，才能确保响应中完全不出现 Server: 字段，无论来自 Nginx 还是上游。
接管并统一输出错误页面
404、502、503 页面常被忽略，却是泄露信息最严重的“后门”：
- Spring Boot 默认 Whitelabel 错误页会显示 “Whitelabel Error Page” 和 Spring Boot 版本
- Nginx 默认 502 页面带
nginx/1.24.0字样 - Apache 或 Tomcat 错误页可能含服务器名、模块版本、堆栈片段
解决方案：
- 用
error_page 404 /404.html;、error_page 502 503 504 /5xx.html;指向静态自定义页面 - 确保自定义页面 HTML 中无注释、无调试提示、无版本标识
- 后端同步关闭调试模式（如 Spring Boot 设置
server.error.include-message: never）
限制 HTTP 方法与非标准路径探测
扫描器常通过 OPTIONS、TRACE、HEAD 或路径如 /.git/config、/WEB-INF/web.xml 探测架构：
- 禁用危险方法：
if ($request_method !~ ^(GET|HEAD|POST|PUT|DELETE|OPTIONS)$) { return 405; } - 拒绝访问敏感路径：
location ~ ^/(\.git|\.svn|\.ht|WEB-INF|META-INF) { return 403; } - 关闭目录浏览：
autoindex off;（默认已关，确认勿开启）
这些规则应放在 server 或对应 location 块中，优先于代理逻辑执行。
