Nginx正向代理实战：通过变量$http_proxy实现流量转发-Nginx-PHP中文网

Nginx可通过自定义请求头（如X-Forward-To）配合map和proxy_pass实现条件化类正向代理，仅支持HTTP/HTTPS，需校验目标地址、限制来源、禁用缓存并透传Host头以保障安全与可用性。

nginx正向代理实战：通过变量$http_proxy实现流量转发

nginx 本身不原生支持正向代理（即客户端通过 nginx 访问外部网站），但可通过巧妙利用 $http_proxy 请求头 + proxy_pass 动态转发，实现轻量级、条件化的“类正向代理”行为。注意：这不是标准正向代理（如 squid 或 nginx 的 CONNECT 方法代理），而是基于 HTTP 头解析的反向代理变体，适用于内网服务按需透传请求到外部目标。

理解 $http_proxy 的作用机制

$http_proxy 是 nginx 自动提取的客户端请求头 Proxy（注意大小写）的值（RFC 7230 中已废弃，现代浏览器基本不发送），更常见且实用的是监听自定义头，如 X-Forward-To 或复用 Host。实际中，$http_proxy 很少被客户端设置，因此建议明确改用可控的请求头，例如 $http_x_forward_to。

nginx 不会自动读取系统环境变量 HTTP_PROXY，$http_proxy 仅对应请求头 Proxy:
若想让 curl 或应用显式指定目标，应使用 -H "X-Forward-To: https://api.example.com"
该方式只适用于 HTTP/HTTPS（非 CONNECT 隧道），无法代理 WebSocket 或 HTTPS 原始 TLS 握手

配置动态 proxy_pass 转发规则

核心是用变量驱动 proxy_pass，并配合校验防止开放代理滥用：

启用 underscores_in_headers on; 才能接收含下划线的自定义头（如 X-Forward-To）
用 map 指令预处理目标地址，过滤非法 scheme 和域名，避免 SSRF

示例 map 规则：

map $http_x_forward_to $upstream_target {
    ~^https?://([a-zA-Z0-9.-]+)(:[0-9]+)?(/.*)?$  $http_x_forward_to;
    default                                           "";
}

在 location 中使用：proxy_pass $upstream_target;，nginx 会将其作为完整 URL 解析并转发

补充关键安全与功能配置

仅转发不够，还需控制行为、隐藏痕迹、保障可用性：

禁用缓存：proxy_buffering off; + proxy_cache off;，避免响应污染
透传原始 Host：proxy_set_header Host $http_host;（或更安全地设为 $1 从正则捕获）
限制来源 IP：allow 192.168.10.0/24; + deny all;，防止公网滥用
添加超时和重试：proxy_connect_timeout 5s;，proxy_read_timeout 30s;
记录转发目标便于审计：log_format proxy_log "... $http_x_forward_to $status";

客户端调用示例与验证

服务端配置就绪后，客户端可直接发起带目标头的请求：

curl 示例：

curl -H "X-Forward-To: https://httpbin.org/get" http://nginx-proxy/

返回内容应来自 httpbin，且响应头中 X-Forward-To 不会透传给上游（需显式 proxy_pass_request_headers off; 或用 proxy_hide_header 屏蔽）
用 tcpdump 或 nginx access log 确认 upstream_target 是否解析正确、是否触发 deny 规则
错误场景：目标域名未在白名单、URL 格式非法、超时，会返回 502/400/403，需结合 error_log 排查