Nginx清理冗余请求头应“精准删”，用proxy_set_header ""删除X-Forwarded-For、User-Agent、Origin、Referer等高危/冗余头，不可写成off或不带引号，需在location块中按路径配置并验证字段是否真正消失。
在 Nginx 反向代理中，清理不需要转发的原始请求头，核心是“精准删”，不是关全局、也不是放任不管。关键在于识别哪些头对后端无用甚至有害，再用原生指令安全移除。
哪些请求头最该清理
以下字段常见于客户端请求，但在多数业务中既无实际用途，又可能带来风险：
- X-Forwarded-For：单层可信代理（如 Nginx 直连后端）下无需透传，留着反而给 IP 伪造留入口
- User-Agent：后端仅作日志归档时，统一抹除可降低客户端指纹暴露面
- Origin：若 CORS 由 Nginx 统一控制（如 add_header Access-Control-Allow-Origin "*"），就不该信任客户端传来的 Origin
- Referer：静态资源或内部 API 不依赖来源页判断时，剥离更干净
- Proxy-Connection、Keep-Alive、TE：HTTP/1.0 遗留字段，Nginx 已自主管理连接，透传无意义且可能干扰
用 proxy_set_header "" 精准删除
这是最轻量、无需编译模块的原生方式。Nginx 将双引号包围的空字符串识别为“删除该头”，而非传递一个空值字段：
- 写法必须带引号：
proxy_set_header X-Forwarded-For ""; - 不能写成
off、none或不带引号的空格 - 建议放在
location块内，按路径精细化控制
示例配置：
location /api/ {<br> proxy_pass http://backend;<br> proxy_set_header Host $host;<br> proxy_set_header X-Real-IP $remote_addr;<br> proxy_set_header X-Forwarded-For "";<br> proxy_set_header User-Agent "";<br> proxy_set_header Origin "";<br> proxy_set_header Referer "";<br>}
别误用 proxy_pass_request_headers off
这个指令是全局关闭所有原始请求头透传，属于“一刀切”策略：
- 它会同时丢弃
Host、Accept、Content-Type等必要头 - 必须手动用
proxy_set_header补全，否则后端无法解析请求 - 仅适用于完全不依赖客户端头的封闭内网系统；日常场景更推荐空字符串方式——只删高危项，保留其余默认行为
验证是否真正删除
改完配置后，务必确认目标头确实从发往后端的请求中消失，而不是变成空值：
- 在后端服务日志里打印
$http_x_forwarded_for、$http_user_agent等变量，看是否为空或未定义 - 用
tcpdump抓后端端口的原始请求包：tcpdump -i lo -A port 8000 | grep -E "^(X-Forwarded-For:|User-Agent:)"，确认对应字段整行缺失
