Nginx安全标识的核心是可信传递可控信息，需主动设置固定头（如X-Proxy-ID）、严格过滤客户端输入、隐藏冗余头、禁用下划线解析，并关闭版本泄露与危险方法。
在 Nginx 中为请求头注入服务器安全标识，核心不是“加一个头”，而是“用可信方式传递可控信息”，避免暴露真实技术栈或被客户端篡改。关键动作是：主动设置、严格过滤、隐藏冗余、不透传敏感字段。
用 proxy_set_header 主动设可信标识
后端服务需要识别请求来源是否经过合法网关，可统一注入自定义标识头（如 X-Proxy-ID 或 X-Gateway-Sign），值应固定、无业务含义、不可伪造：
-
推荐写法：
proxy_set_header X-Proxy-ID "nginx-gw-prod-v2";—— 固定字符串，便于后端日志归因和策略匹配 - 若需区分环境，可用变量但须受控：
proxy_set_header X-Proxy-Env $server_name;，前提是server_name已严格限定为合法域名（如api.example.com），不允许多重匹配 - 禁止用
$http_x_proxy_id等客户端输入值直接透传，否则攻击者可伪造：curl -H "X-Proxy-ID: attacker" ...
剥离或覆盖危险/冗余请求头
客户端可能携带干扰性或高危头（如 User-Agent、Referer、Origin），若后端逻辑依赖它们，易被绕过或污染：
- 清空非必要头：
proxy_set_header User-Agent "";、proxy_set_header Referer ""; - 强制重写 Origin（尤其跨域 API）：
proxy_set_header Origin "https://api.example.com";—— 值必须与后端白名单完全一致 - 禁用下划线解析防止头部绕过：
underscores_in_headers off;，避免X_User_ID被误识别为X-User-ID
配合 headers-more-nginx-module 做精细控制
标准 Nginx 仅支持单次 proxy_set_header 覆盖，而 headers-more-nginx-module 可实现条件化、多层、输入/输出分离的头管理：
- 按状态码注入调试标识：
more_set_headers -s 500 'X-Error-Source: nginx-gateway'; - 清除原始请求中的可疑头：
more_clear_input_headers 'X-Forwarded-For' 'X-Real-IP';（再由 Nginx 重新注入可信值） - 对特定路径启用增强标识：
location /admin/ { more_set_headers 'X-Security-Level: high'; }
不暴露自身，才是真正的安全标识
所谓“安全标识”本质是降低攻击面，而非炫耀架构。因此必须同步做减法：
- 关闭版本泄露：
server_tokens off; - 隐藏服务名：
proxy_hide_header Server;、proxy_hide_header X-Powered-By; - 禁用危险方法：
limit_except GET POST { deny all; }（只读接口可进一步限制为仅 GET） - 拒绝非法 Host 请求：
server { listen 443 ssl default_server; return 444; }+ 显式server_name白名单
