Nginx中无法直接用proxy_pass过滤URL参数，但可通过rewrite+正则、map白名单或rewrite清空等方式在转发前净化参数；推荐map方案提升性能与可维护性，并需同步清理敏感请求头与Cookie。
在 Nginx 中使用 proxy_pass 转发请求时，无法直接通过 proxy_pass 本身过滤或清理 URL 参数，但可以通过组合 rewrite、set、map 和 proxy_set_header 等指令，在转发前对请求 URI 或参数进行重写与净化。
用 rewrite + 正则提取并重建干净的 URI
这是最常用、最可控的方式：捕获需要保留的参数，丢弃其余所有，再构造新 URI 转发。
示例：只保留 id 和 token 参数，其他全部清除：
location /api/ {
# 匹配包含 id=xxx&token=yyy 的情况，忽略其他参数
rewrite ^/api/(.*)$ /api/$1? break;
# 再用正则提取关键参数（支持多个顺序不定）
if ($args ~* "id=([^&]+)&token=([^&]+)") {
set $clean_args "id=$1&token=$2";
rewrite ^(.*)$ $1?$clean_args? break;
}
if ($args ~* "token=([^&]+)&id=([^&]+)") {
set $clean_args "id=$2&token=$1";
rewrite ^(.*)$ $1?$clean_args? break;
}
# 若只有 id 或只有 token，也做兜底（可选）
if ($args ~* "id=([^&]+)") {
set $clean_args "id=$1";
rewrite ^(.*)$ $1?$clean_args? break;
}
if ($args ~* "token=([^&]+)") {
set $clean_args "token=$1";
rewrite ^(.*)$ $1?$clean_args? break;
}
# 默认清空所有参数
if ($args !~ "(id=|token=)") {
rewrite ^(.*)$ $1? break;
}
<pre class="brush:php;toolbar:false;">proxy_pass http://backend;
proxy_set_header Host $host;}
⚠️ 注意：if 在 location 中慎用（Nginx 官方不推荐），生产环境建议改用 map + rewrite 组合提升性能和可维护性。
用 map 预定义安全参数白名单（推荐）
利用 map 指令从原始 $args 中提取指定参数值，再拼接成干净查询串。更高效、无 if 副作用。
在 http 块中定义：
CPA Update - Secure CLI Proxy API Maintenance
下载
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
map $args $safe_id {
~*id=([^&]+) $1;
default "";
}
map $args $safe_token {
~*token=([^&]+) $1;
default "";
}
map $args $clean_args {
"~*id=[^&]+&token=[^&]+" "$safe_id&$safe_token";
"~*token=[^&]+&id=[^&]+" "$safe_id&$safe_token";
"~*id=[^&]+" "$safe_id";
"~*token=[^&]+" "$safe_token";
default "";
}然后在 location 中使用：
location /api/ {
# 若有 clean_args，则重写 URI；否则保持无参
if ($clean_args != "") {
rewrite ^(.*)$ $1?$clean_args? break;
}
rewrite ^(.*)$ $1? break;
<pre class="brush:php;toolbar:false;">proxy_pass http://backend;}
彻底剥离参数，仅转发路径（最简单场景）
如果业务允许「完全忽略所有查询参数」，直接丢弃即可：
- 用
rewrite ... ? break;清空参数（问号结尾表示空查询串） - 或用
proxy_pass不带 URI 尾部，Nginx 默认透传原始参数；若想禁用，必须显式重写
示例：
location /legacy/ {
# 所有请求都去掉参数，只转发路径
rewrite ^(.*)$ $1? break;
proxy_pass http://old-system;
}补充：避免透传敏感头或 Cookie（常被忽略）
参数清理只是前端一环，后端还可能通过 Header 或 Cookie 传递敏感信息。建议同步清理：
-
proxy_set_header Authorization "";—— 清除认证头 -
proxy_set_header Cookie "$allowed_cookie";—— 只透传白名单 Cookie（需先用 map 提取） -
proxy_hide_header X-Internal-Debug;—— 隐藏后端返回的敏感响应头
不复杂但容易忽略。
