使用 proxy_hide_header 可在 nginx 反向代理时移除上游响应头中的敏感字段（如 server、x-powered-by 等），应在 location 块中针对静态资源精准配置，并通过 curl -i 验证生效，同时建议配合 add_header 启用 hsts 等安全头。
使用 proxy_hide_header 可以在 Nginx 作为反向代理时，主动移除上游服务器响应头中可能泄露后端技术栈的敏感字段，比如 Server、X-Powered-By、X-AspNet-Version 等。这属于基础但关键的安全加固措施，尤其对静态资源（如 JS、CSS、图片）响应同样有效。
明确哪些响应头需要隐藏
常见需隐藏的敏感响应头包括：
-
Server：默认暴露 Nginx 或后端（如 Apache、IIS、Tomcat）版本号 -
X-Powered-By：常由 PHP、Node.js、ASP.NET 等框架自动添加，暴露运行环境 -
X-AspNet-Version、X-AspNetMvc-Version：.NET 应用特有，易被用于针对性攻击 -
X-Runtime、X-Content-Type-Options（若由后端错误设置）等非标准或冗余头
在 location 块中针对静态资源精准配置
为避免影响动态接口（如 API 可能依赖某些头），建议在匹配静态资源的 location 块中单独设置。例如：
location ~* \.(js|css|png|jpg|jpeg|gif|ico|svg|woff2?|ttf|eot)$ {
proxy_pass http://backend;
proxy_hide_header Server;
proxy_hide_header X-Powered-By;
proxy_hide_header X-AspNet-Version;
proxy_hide_header X-AspNetMvc-Version;
# 可选：统一设置安全头增强防护
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "DENY" always;
}
注意：proxy_hide_header 仅对代理响应生效，且必须写在 proxy_pass 所在的上下文中（如 location 或 server）。它不会隐藏 Nginx 自己生成的头（如 Date、Content-Length），也不会影响客户端请求头。
FastAPI Flask Proxy
下载
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
验证是否生效
部署后，用 curl -I 检查静态资源响应头：
curl -I https://example.com/style.css
确认输出中不再出现被隐藏的字段。也可用浏览器开发者工具的 Network 面板查看 Response Headers。若仍存在，检查是否：
- 配置未重载（执行
nginx -s reload） - 匹配的
location块未实际生效（可用nginx -T查看完整生效配置） - 后端服务器在响应体中硬编码了指纹（此时需后端修复，
proxy_hide_header无法处理响应体）
补充建议：配合其他安全头一并清理
仅隐藏指纹不够，建议同步禁用不必要头并启用防御性头：
- 用
underscores_in_headers on;（如需接收带下划线的自定义头） - 用
add_header显式设置Strict-Transport-Security（HSTS）、Referrer-Policy等 - 对所有代理位置统一隐藏通用敏感头，可放在
http或server块中，但注意不要误删业务必需头
不复杂但容易忽略。
