需隐藏Server头以防止暴露后端技术栈，降低攻击风险；通过proxy_hide_header Server;在location块中配置可移除上游响应头中的Server字段，但不影响Nginx自身Server头（由server_tokens控制）。
可以通过 proxy_hide_header 指令在 Nginx 反向代理中移除后端响应头中的 Server 字段，避免暴露后端服务类型和版本，降低被针对性攻击的风险。
为什么需要隐藏 Server 头
后端应用（如 Tomcat、Node.js、Django）默认会在 HTTP 响应头中返回 Server: nginx/1.24.0 或 Server: Apache/2.4.52 等信息。这类信息虽不直接导致漏洞，但为攻击者提供了技术栈线索，可能辅助指纹识别、版本探测或已知 CVE 利用。Nginx 本身不会自动隐藏后端的 Server 头，需显式配置。
正确配置 proxy_hide_header
该指令必须放在 location 块或 server 块中，且仅对代理响应生效（即配合 proxy_pass 使用）。注意：proxy_hide_header 不影响 Nginx 自己生成的 Server 头（那是由 server_tokens 控制），只作用于上游返回的响应头。
- 在对应
location中添加：proxy_hide_header Server; - 若还需隐藏其他敏感头（如
X-Powered-By），可多行写：proxy_hide_header Server;<br>proxy_hide_header X-Powered-By;<br>proxy_hide_header X-AspNet-Version;
- 确保未被
proxy_pass_request_headers on类配置覆盖（默认就是 off，无需额外设置）
配套安全建议
单靠隐藏 Server 头不够，建议组合使用：
- 关闭 Nginx 自身的版本标识：
server_tokens off;（放在http、server或location块中） - 避免在错误页中泄露信息：设置
error_page 404 /404.html;并自定义静态页面，禁用fastcgi_intercept_errors等可能透出后端细节的选项 - 验证是否生效：用
curl -I https://your-domain.com查看响应头，确认无Server:行（或只剩 Nginx 默认的Server: nginx，此时说明后端头已被成功隐藏）
常见误区提醒
proxy_hide_header 不是万能开关：
- 它不能隐藏 Nginx 自己添加的
Server头——那是server_tokens的职责 - 它对非代理请求（如
root+index.html静态服务）无效 - 若后端通过
Set-Cookie、响应体或重定向 Location 泄露信息，该指令无法处理 - 某些框架（如 Spring Boot）可能通过
/actuator/health等端点返回Server相关字段，需单独配置接口权限或响应过滤
