proxy_hide_header能拦截后端敏感响应头（如x-powered-by），但对nginx自身server头无效，也不处理错误页html内的版本信息；必须置于proxy_pass之后、每头单独一行，且需配合server_tokens off和自定义错误页才能完整防护。
直接结论：proxy_hide_header 能有效拦截后端返回的敏感响应头（如 X-Powered-By、X-AspNet-Version），但对 Nginx 自身的 Server 头无效，也不能处理错误页 HTML 体内的版本信息——它只是安全加固中的一环，不是万能补丁。
proxy_hide_header 必须放在 proxy_pass 之后才生效
很多人配置完没效果，第一反应是模块没装或语法错，其实只是顺序错了。Nginx 要求 proxy_hide_header 必须写在 proxy_pass 指令之后，且每个头单独一行：
location /api/ {
proxy_pass http://127.0.0.1:8080/;
proxy_hide_header X-Powered-By;
proxy_hide_header X-AspNet-Version;
proxy_hide_header X-Runtime;
proxy_hide_header Server;
}
常见错误包括：
- 把
proxy_hide_header写在proxy_pass前面，Nginx 不报错但完全不生效 - 试图用逗号合并多个头，例如
proxy_hide_header X-Powered-By, X-AspNet-Version，这会直接导致配置加载失败 - 在
http块里全局写proxy_hide_header，该指令只在location或server块内、且有proxy_pass时才起作用
哪些头真正需要隐藏，取决于你的后端技术栈
不同语言和框架默认注入的头差异很大，盲目全加反而可能误删关键安全头（比如某些旧版 Spring Boot 会通过 X-Content-Type-Options 透传值，删掉就破坏了防护）：
- PHP 应用（Laravel、ThinkPHP 等）：重点盯
X-Powered-By，默认带 PHP 版本，如X-Powered-By: PHP/8.2.12 - Java/Spring Boot：常带
X-Application-Context、X-AspNet-Version（若混用 .NET 组件）、Server（Tomcat 返回Apache-Coyote/1.1） - Rails 或部分 Go 中间件：可能加
X-Runtime，暴露语言运行时和耗时特征 - 静态站点生成器（Hugo、Jekyll）：常带
X-Generator，泄露建站工具和版本
验证方式很简单：curl -I https://your-domain.com/api/health，看响应头里有没有上述字段。
⚠️ 已弃用 — 该技能已拆分为两个独立技能，以提升模块化程度：**webchat-https-proxy**（HTTPS/WSS 反向代理）和 **webchat-voi...**
Server 头被隐藏了，但错误页里还写着 nginx/1.24.0
这是最常被忽略的漏网之鱼。proxy_hide_header Server 只能屏蔽后端返回的 Server 头，而 Nginx 自己生成的 4xx/5xx 错误页（比如 502 Bad Gateway）仍会显示完整 Server: nginx/1.24.0 —— 这个得靠 server_tokens off 解决：
http {
server_tokens off;
...
}
注意两点：
-
server_tokens off必须放在http块，不能只写在server或location里 - 即使关了
server_tokens，自定义错误页 HTML 模板里如果硬编码了版本号（比如<!-- nginx v1.24.0 -->），照样泄露——得人工检查并清理模板文件
有些头根本藏不住，得换思路
proxy_hide_header 有明确限制，遇到以下情况必须绕开：
-
Set-Cookie、Content-Length、Connection等协议关键头，Nginx 明确禁止隐藏，配置会被忽略 - 后端在响应体（HTML/JSON）里写的版本信息，比如错误页中的堆栈跟踪、调试开关开启时的路径和框架名，
proxy_hide_header完全无能为力，必须后端关闭调试模式 - 重定向响应里的
Location头，如果 Nginx 启用了proxy_redirect，原始Location已被重写，proxy_hide_header Location就失效了
真正稳妥的做法是：先用 proxy_hide_header 清理响应头，再配合 server_tokens off 和自定义错误页，最后确保后端不输出任何调试信息——三者缺一不可。
