需在 location 块中配合 proxy_pass 使用 proxy_hide_header 隐藏后端响应头（如 Server、X-Powered-By），并设 server_tokens off 彻底隐藏 Nginx 自身 Server 头，配置后 reload 并用 curl -I 验证生效。
要通过 proxy_hide_header 移除后端响应头中的技术栈信息（如 Server、X-Powered-By、X-AspNet-Version 等），核心是在 Nginx 的反向代理配置中明确隐藏这些敏感响应头，同时注意其作用范围和限制条件。
明确哪些响应头需要隐藏
常见泄露技术栈的响应头包括：
-
Server：默认显示 Nginx 或后端服务器（如 Apache、IIS、Tomcat）版本 -
X-Powered-By：常暴露 PHP、Node.js、ASP.NET 等运行环境及版本 -
X-AspNet-Version：.NET 应用特有，直接暴露框架版本 -
X-Runtime、X-Rack-Cache等：Ruby/Rack 应用可能携带的调试或中间件标识
在 proxy_pass 上下文中正确使用 proxy_hide_header
该指令仅在 location 块中、且存在 proxy_pass 时生效，不能写在 http 或 server 级全局生效。每行只隐藏一个头，可多次使用：
location / {
proxy_pass https://backend;
proxy_hide_header Server;
proxy_hide_header X-Powered-By;
proxy_hide_header X-AspNet-Version;
proxy_hide_header X-Runtime;
}
注意：proxy_hide_header 只影响从后端收到的响应头，不处理 Nginx 自己添加的头（如 Date、Content-Type）；它也不会屏蔽已被 add_header 覆盖的头。
补充隐藏 Server 字段的完整方案
proxy_hide_header Server 仅隐藏后端返回的 Server 头，但 Nginx 默认仍会用自己的 Server 头响应客户端。需配合以下两项彻底隐藏：
WebChat Voice Proxy
下载
⚠️ 已弃用 — 该技能已拆分为两个独立技能，以提升模块化程度：**webchat-https-proxy**（HTTPS/WSS 反向代理）和 **webchat-voi...**
- 在
http或server块中设置server_tokens off;—— 关闭 Nginx 版本号输出 - （可选加固）用
more_clear_headers "Server";（需headers-more-nginx-module）或underscores_in_headers on;配合自定义逻辑进一步清理
验证是否生效
部署后，用 curl -I 或浏览器开发者工具检查响应头：
curl -I https://yoursite.com/api/test
确认目标头（如 X-Powered-By）已完全消失，而非显示为空值或被替换为其他内容。若仍存在，检查是否：
- 配置未重载（执行
nginx -s reload） - 请求未命中设置了
proxy_hide_header的 location（例如静态资源走了别的 location） - 后端应用在应用层强制重写了响应头（如 Spring Boot 的
server.http2.enabled=false不影响头，但某些中间件会主动注入）
不复杂但容易忽略细节，关键在精准匹配 location 和理解指令生效边界。
