Nginx反向代理响应头重写：proxy_hide_header应用指南-Nginx-PHP中文网

proxy_hide_header可屏蔽后端响应头如X-Powered-By、Server（上游）等，但不影响Nginx自身头；需配合server_tokens off隐藏Nginx的Server版本号，且该指令仅在当前location生效、须置于proxy_pass之后。

nginx反向代理响应头重写：proxy_hide_header应用指南

直接用 proxy_hide_header 就能删掉上游返回的特定响应头，比如 X-Powered-By、Server（后端的）、X-AspNet-Version 这类暴露技术栈的字段。它不改响应体，也不影响 Nginx 自己加的头——想关掉 Nginx 的 Server 版本号，得配 server_tokens off。

哪些响应头该优先隐藏

后端服务（Spring Boot、Express、ASP.NET 等）常默认注入标识性头，这些是攻击面入口：

X-Powered-By：暴露语言/框架版本，如 Express 或 PHP/8.1
X-Application-Context：Spring Boot 常带环境信息，如 application:prod
X-Runtime、X-Generator：泄露运行时耗时或 CMS 类型
Server（上游的）：虽不能屏蔽 Nginx 自己的 Server，但能干掉后端 Apache/Tomcat 的原始值
X-XSS-Protection、X-Frame-Options：若由 Nginx 统一管控安全策略，就别让后端重复或冲突输出

配置写法与作用域要点

这个指令只在当前 location 或 server 块里生效，且必须写在 proxy_pass 之后才起作用：

Umbrel Proxy Manager

高效管理与交互 Umbrel 代理服务，支持 Docker 容器。自动发现运行服务，将内部 Docker IP 映射为可访问的外部地址。

下载

错误写法：proxy_hide_header 放在 proxy_pass 前 → 不生效
不能跨块继承：父 http 块设了，子 location 里还得再写一遍
不处理关键系统头：Content-Length、Set-Cookie、Location 无法用它删除（Set-Cookie 要用 proxy_cookie_domain/path，Location 要用 proxy_redirect）
多个同名头会全部屏蔽：比如后端用了两次 X-Trace-ID，proxy_hide_header X-Trace-ID 会一起干掉

配合其他指令完成完整响应头治理

单靠 proxy_hide_header 不够，实际场景需组合使用：

先删后端敏感头：proxy_hide_header X-Powered-By; proxy_hide_header X-AspNet-Version;
再统一加安全头：add_header X-Content-Type-Options nosniff; add_header Strict-Transport-Security "max-age=31536000; includeSubDomains";
重写跳转地址：proxy_redirect http://internal-api/ https://api.example.com/;
修正 Cookie 域名路径：proxy_cookie_domain ~^(.*)$ example.com; proxy_cookie_path /app/ /;
关掉 Nginx 自身版本标识：server_tokens off;（放在 http 或 server 块）