<p>Nginx 通过 proxy_set_header 注入自定义安全认证头，核心是显式设置 Authorization 或 X- 开头的校验头，并配套 Host、X-Real-IP 等基础头；需避免变量大小写错误、头被默认清除或缓存干扰。</p>
在 Nginx 反向代理中注入自定义安全认证头，核心是使用 proxy_set_header 指令显式设置请求头，并确保该头能被后端服务识别和校验。Nginx 本身不执行认证逻辑，但可作为“可信信道”可靠透传或注入认证信息（如 Token、固定凭据、自定义校验字段）。
基础代理配置 + 认证头注入
这是最常用方式：在 location 块中用 proxy_pass 转发请求，同时用 proxy_set_header 添加认证头。例如向后端注入 Bearer Token：
proxy_set_header Authorization "Bearer YOUR_SECRET_TOKEN";-
proxy_set_header X-API-Key "abc123";（适用于 API 密钥模式） -
proxy_set_header X-Internal-Auth "valid";（用于内网服务间信任标识）
注意：若后端依赖原始 Host 或客户端 IP，还需保留基础头：
proxy_set_header Host $host;proxy_set_header X-Real-IP $remote_addr;proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;proxy_set_header X-Forwarded-Proto $scheme;
动态注入：根据请求头或变量条件设置
当需要按客户端携带的原始认证信息做转换或校验时，可结合 set 和 if（谨慎使用）实现逻辑控制。例如只允许带有效 Bearer 头的请求通过，并原样透传：
- 用
set $auth_token $http_authorization;提取原始头 - 用
if ($auth_token ~* "^Bearer\s+[a-zA-Z0-9_\-\.~\/+]*$") { proxy_set_header Authorization $auth_token; }（注：实际配置中if不能直接嵌套proxy_set_header，需改用map或在location外预定义） - 更稳妥做法：用
map指令预处理变量，再在location中引用，避免if的作用域限制
配合基础认证（Basic Auth）增强入口层安全
在代理入口加一层 Nginx 自带的 HTTP Basic 认证，可作为第一道防线，再注入后端所需的 Token：
- 启用：
auth_basic "Restricted Access"; - 指定密码文件：
auth_basic_user_file /etc/nginx/conf.d/.htpasswd; - 仍需注入后端所需头：
proxy_set_header Authorization "Bearer backend-service-token";（此时后端看到的是 Nginx 注入的统一 Token，而非用户输入的 Basic 凭据）
这样既保护了访问入口，又解耦了前端认证与后端服务认证机制。
注意事项与常见陷阱
注入认证头看似简单，但几个关键点容易出错：
-
Header 被覆盖或丢失：Nginx 默认会清除部分头（如
Authorization），必须显式用proxy_set_header重新设置，不能依赖客户端原始值自动透传 -
大小写敏感：HTTP 头名不区分大小写，但 Nginx 变量（如
$http_authorization）必须严格小写加下划线 -
缓存干扰：若启用了
proxy_cache，需确保认证头不影响缓存键，建议添加proxy_cache_key "$scheme$request_method$host$request_uri$http_authorization"; -
HTTPS 下的 Host 一致性：若后端强制校验
Host头，务必用proxy_set_header Host $host;，而非硬编码
