要让Nginx可靠透传自定义流控标识，必须开启underscores_in_headers on、用proxy_set_header显式设置对应$http_变量并置于proxy_pass前、确认上游已注入且未被覆盖、配合日志审计验证完整性。
要让 Nginx 把自定义的流控标识（比如 X-Rate-Limit-Key、X-Flow-Group 或 X-Traffic-Policy）可靠地透传给后端业务网关，关键不是“转发就行”，而是主动提取、显式设置、规避丢弃。
必须开启下划线支持
Nginx 默认拒绝含下划线的请求头字段（如 X_Rate_Limit_Key），会静默丢弃。即使你写了 proxy_set_header X-Rate-Limit-Key $http_x_rate_limit_key;，若头名实际是 X_Rate_Limit_Key，它根本进不来。
- 在
http或server块顶部添加：underscores_in_headers on; - 该指令不能写在
location内，只在全局或 server 级生效 - 开启后，Nginx 才能识别并映射
$http_x_rate_limit_key这类变量
用 $http_ 变量显式透传，且位置必须在 proxy_pass 之前
Nginx 不会自动把非标准头传给后端。必须用 proxy_set_header 主动提取并重设，且顺序不能错。
- 正确写法示例：
proxy_set_header X-Rate-Limit-Key $http_x_rate_limit_key;proxy_set_header X-Flow-Group $http_x_flow_group; - 这些语句必须放在
proxy_pass指令之前，否则无效 - 变量名要严格对应：头名转小写、中划线变下划线，再加
$http_前缀（如X-Flow-Group→$http_x_flow_group）
确认上游网关已注入该头，且未被中间层覆盖
流控标识通常由前置网关（如 Kong、APISIX 或自研网关）注入。Nginx 作为二级代理，只负责“接力”，不生成也不校验。
- 检查前置网关是否确实在请求中设置了该头（可用
log_format记录$http_x_rate_limit_key验证） - 避免多个代理层重复设置同名头——后端应只信任最终 Nginx 注入的版本，可约定使用
X-Proxy-*前缀增强语义 - 若业务网关需区分来源，可在透传时补充标识：
proxy_set_header X-From-Nginx "true";
配合日志做透传审计
光配对不等于真正送达。建议在 access log 中同时记录原始值与 upstream 响应，验证完整性。
- 在
log_format中加入：$http_x_rate_limit_key $upstream_http_x_rate_limit_key - 若两者一致，说明透传成功；若后者为空，说明后端未回传（不影响请求，但影响链路追踪）
- 也可用
$request_id关联全链路日志，快速定位丢失环节
