Nginx默认屏蔽Set-Cookie、WWW-Authenticate、Expires、Cache-Control等响应头，需用proxy_pass_header显式放行；但该指令仅取消默认屏蔽，不覆盖proxy_hide_header或cookie重写等更高优先级机制。
要让 Nginx 透传那些被默认过滤掉的响应头（比如 Set-Cookie、WWW-Authenticate、Expires、Cache-Control 等），不能只靠 proxy_pass_header，它本身并不“强制透传”，而是用来**取消默认屏蔽**——前提是该 header 没被其他机制覆盖或重写。
哪些响应头会被 Nginx 默认忽略？
Nginx 内置了一组“不转发给客户端”的响应头列表，主要出于安全和协议兼容性考虑。常见被屏蔽的包括：
-
Set-Cookie（仅当上游未设Domain或Path且非同域时易被丢） WWW-AuthenticateExpires-
Cache-Control（部分场景下，尤其配合proxy_cache时） -
Connection、Keep-Alive、Proxy-Authenticate等 hop-by-hop 头
正确启用 proxy_pass_header 的用法
proxy_pass_header 的作用是：**显式声明允许将某个上游响应头原样传递给客户端**。它必须写在 location 或 server 块中，并且只能用于响应头（不能用于请求头）。
例如，强制透传 Set-Cookie 和 WWW-Authenticate：
location /api/ {
proxy_pass https://backend;
proxy_pass_header Set-Cookie;
proxy_pass_header WWW-Authenticate;
}
⚠️ 注意：proxy_pass_header 不会恢复已被 proxy_hide_header 显式隐藏的头；若两者共存，proxy_hide_header 优先级更高。
绕过其他干扰机制的关键点
即使加了 proxy_pass_header，头仍可能消失，需排查以下常见原因：
-
检查是否误用了
proxy_hide_header：删掉或注释掉相关行，如proxy_hide_header Set-Cookie; -
确认没有被
proxy_cookie_path/proxy_cookie_domain覆盖：这两个指令会重写Set-Cookie，导致原始头被丢弃。如需保留原始值，避免使用它们，或改用proxy_cookie_flags控制 flag 而非重写整个头 -
HTTP/2 后端可能触发头压缩或过滤：Nginx 1.19.0+ 对 HTTP/2 后端的响应头处理更严格，可尝试加
proxy_http_version 1.1;强制降级测试 -
缓存相关指令影响：开启
proxy_cache时，Nginx 默认不缓存带Set-Cookie的响应，也不会透传。如需缓存并透传，需额外配置proxy_cache_use_stale error timeout updating http_500 http_502 http_503 http_504并配合proxy_ignore_headers放行
调试与验证方法
快速确认 header 是否真正到达客户端：
- 用
curl -v查看响应头：curl -v https://yourdomain/api/test - 在 Nginx 中临时添加日志记录上游响应头：
log_format debug '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" "$upstream_http_set_cookie" "$upstream_http_www_authenticate";，然后查 access log - 用
tcpdump或 Wireshark 抓包，对比 upstream 响应与 Nginx 发给 client 的响应，定位丢失环节
不复杂但容易忽略：关键是理清 Nginx 对响应头的三层控制——默认屏蔽列表、proxy_hide_header 显式隐藏、以及缓存/cookie 重写逻辑。只要逐层放开，proxy_pass_header 就能按预期工作。
