Nginx反向代理中需主动治理标头：只透传必要项（如X-Real-IP、X-Forwarded-For等），清理高危标头（Proxy-、Upgrade等），注入标准安全标头（HSTS、CSP等），并依托map模块统一策略、禁用隐式继承、强化审计与CI/CD管控。
在 Nginx 企业级反向代理部署中，标头（Header）的透传与安全治理不是“开箱即用”的默认行为，而是需主动设计、精细控制的关键环节。核心原则是：**只透传必要标头，主动清理危险标头，显式声明可信来源，并对关键安全标头做标准化注入**。
一、必须透传的业务相关标头（按需启用）
下游服务依赖某些上游请求信息时，才应透传，且建议重命名避免污染或冲突：
-
X-Real-IP：用
set_real_ip_from+real_ip_header配合可信代理段设置，替代原始$remote_addr -
X-Forwarded-For：仅在需要链路追踪且下游明确兼容时透传；建议用
proxy_set_header X-Forwarded-For "$proxy_add_x_forwarded_for";（自动追加，不覆盖） -
X-Forwarded-Proto：强制设为
$scheme，确保下游正确识别 HTTPS/HTTP -
X-Forwarded-Host / X-Forwarded-Port：仅当后端需重构绝对 URL 时启用，值应来自可信变量（如
$host、$server_port），而非原始请求
二、必须清理或禁止透传的高危标头
以下标头若由客户端任意携带并透传，可能引发请求走私、缓存污染、权限绕过等风险，Nginx 应默认丢弃：
-
Proxy- 开头标头（如
Proxy-Authorization,Proxy-Connection）：直接拦截，防止代理协议混淆 -
Upgrade / Connection：除非明确支持 WebSocket，否则用
proxy_set_header Upgrade ""; proxy_set_header Connection "";清空 -
Authorization / Cookie / Set-Cookie：非认证网关场景下，不应透传敏感凭证标头；若需透传，必须配合
map模块做白名单校验或脱敏 -
X-Forwarded-For 中不可信 IP 段：通过
geo或map过滤伪造 IP，仅保留已知可信代理地址
三、必须注入的标准安全标头（防御性加固）
无论上游是否提供，Nginx 应主动注入统一、合规的安全标头，体现平台治理能力：
-
Strict-Transport-Security：强制 HSTS，如
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always; -
X-Content-Type-Options：禁用 MIME 类型嗅探，
add_header X-Content-Type-Options "nosniff" always; -
X-Frame-Options 或 Content-Security-Policy：防点击劫持，推荐 CSP：
add_header Content-Security-Policy "frame-ancestors 'self';" always; -
X-XSS-Protection（兼容旧浏览器）：
add_header X-XSS-Protection "1; mode=block" always; -
Referrer-Policy：控制 Referer 泄露，如
add_header Referrer-Policy "no-referrer-when-downgrade" always;
四、企业级实践建议（落地要点）
规范不止于配置，更在于可审计、可收敛、可继承：
- 用
map模块集中管理标头策略（如按 location / upstream 分类定义透传规则），避免重复写死 - 所有
proxy_set_header必须显式声明，禁用隐式继承；未声明的标头默认不透传 - 对内部服务调用，使用专用 upstream，关闭所有外部标头透传，仅注入平台级标头（如
X-Env,X-Cluster,X-Request-ID） - 定期用
curl -I和日志$sent_http_*变量验证实际输出，避免配置被覆盖或忽略 - 将标头策略纳入 CI/CD 检查项，禁止提交含
proxy_pass_request_headers on或裸proxy_set_header的宽松配置
标头治理的本质是信任边界的显式声明——Nginx 不是透明管道，而是可信入口守门人。每一次 proxy_set_header 都应有依据，每一次 add_header 都应有目的，每一次 unset 都应有理由。
