Nginx 中正确指令是 proxy_hide_header，非“Proxy-Hide-Header”；它仅屏蔽后端响应头（如 Server、X-Powered-By），须置于 proxy_pass 后的 location/server 块中，且需配合 server_tokens off 隐藏 Nginx 自身 Server 头。
不能用 Proxy-Hide-Header —— Nginx 根本没有这个指令。 它是常见误解，源于把 Apache 的 Header unset 或某些反向代理中间件的配置记混了。Nginx 中真正可用、且被广泛用于隐藏后端响应头（比如 Server、X-Powered-By）的是 proxy_hide_header 和 proxy_set_header 配合使用。
为什么 proxy_hide_header 不生效？常见配置陷阱
很多人写了 proxy_hide_header Server; 却发现浏览器里依然能看到 Server: nginx 或 Server: gunicorn/21.2.0，原因通常是：
-
proxy_hide_header只影响从后端（upstream）返回的响应头，不处理 Nginx 自己生成的响应头（如它自己加的Server） - 该指令必须写在
location或server块中，且需位于proxy_pass之后才起作用（顺序无关，但作用域必须覆盖代理路径） - 它不会隐藏
Content-Type、Content-Length等 HTTP/1.1 强制头，也不影响被 Nginx 重写的头（例如用add_header显式添加的） - 若后端用了 HTTP/2 返回，部分头（如
server）可能被静默忽略——这不是 bug，而是协议层限制
正确移除后端版本特征的两步操作
要彻底隐藏后端暴露的指纹（如 X-Powered-By: Express、Server: Apache/2.4.52），得组合使用：
- 用
proxy_hide_header屏蔽后端返回的敏感头：proxy_hide_header X-Powered-By;<br>proxy_hide_header Server;<br>proxy_hide_header X-AspNet-Version;<br>proxy_hide_header X-AspNetMvc-Version;
- 用
proxy_set_header阻止 Nginx 把自身Server头透传给客户端（默认会透传）——但这还不够，你还得关掉 Nginx 自己发的Server：
在 http 或 server 块中加：
server_tokens off;
这会让 Nginx 返回 Server: nginx 变成 Server:（空值），或完全不发该头（取决于版本和是否启用 underscores_in_headers 等上下文）。
注意：add_header 会覆盖 proxy_hide_header 的效果
如果在同一个 location 里同时写了：
proxy_hide_header Server;<br>add_header Server "myapp/1.0";
那么最终响应里会出现 Server: myapp/1.0 —— 因为 add_header 是“添加”，不是“替换”，且它发生在响应组装后期，会盖过隐藏逻辑。更隐蔽的问题是：add_header 在有多个匹配时会**累加**，导致重复头。解决办法是：
- 避免用
add_header设置Server；如真需自定义，改用more_set_headers（需安装headers-more-nginx-module） - 或直接依赖
server_tokens off+proxy_hide_header组合，这是最轻量、最可靠的方式 - 检查上游是否在响应体里也硬编码了版本信息（如 HTML 注释、API 的
meta字段），那得靠 Nginx 的sub_filter或后端修复
真正容易被忽略的点是：proxy_hide_header 对 WebSocket 升级响应无效（因为那是 101 状态码，走的是不同处理路径），如果后端通过 WS 暴露版本，就得在 upstream 层做清洗，或者换用 Envoy / Traefik 等支持更细粒度 header 控制的代理。
