nginx的map指令不直接操作头，而是为安全头处理提供条件判断依据；真正移除敏感头需配合proxy_hide_header、unset或add_header...always等指令实现动态控制。
Nginx 的 map 指令本身不直接操作请求头或响应头，但它能为安全头处理提供决策依据——比如判断是否该移除某个敏感字段。真正执行“批量移除后端泄露的敏感安全字段”的动作，靠的是 proxy_hide_header、unset（需配合 more_set_headers 模块）或 add_header ... always 配合 proxy_ignore_headers 等指令。而 map 的价值在于：按需触发这些动作，实现动态、条件化控制。
下面分三类典型场景说明如何组合使用：
利用 map 控制 proxy_hide_header 的生效范围
后端可能返回 X-Internal-IP、X-Backend-Version、Server、X-Powered-By 等不该暴露的头。你可以用 map 标记“当前请求是否属于外部用户”，再通过 if 或变量注入控制是否启用隐藏：
http {
map $http_referer $should_hide_internal_headers {
~^https?://(app\.example\.com|dashboard\.example\.com) 0; # 内部可信来源，不隐藏
default 1;
}
server {
location /api/ {
proxy_pass http://backend;
# 仅对外部请求隐藏敏感头
if ($should_hide_internal_headers) {
proxy_hide_header X-Internal-IP;
proxy_hide_header X-Backend-Version;
proxy_hide_header Server;
proxy_hide_header X-Powered-By;
}
}
}
}
⚠️ 注意：if 在 location 中使用是安全的（Nginx 官方明确允许），但不能放在 server 级顶层。
动态屏蔽 Set-Cookie + 清除敏感 Cookie 响应头
当后端对登录态接口返回 Set-Cookie: sessionid=xxx; HttpOnly; Secure，但你只想缓存“骨架”页面（不带用户态），就要阻止该头进入缓存并污染其他用户：
http {
# 判断是否含敏感认证信息（用于后续缓存与头清理策略）
map $http_authorization $is_authenticated {
"" 0;
default 1;
}
map $is_authenticated $should_block_cookie {
1 1;
0 0;
}
}
server {
location /public/ {
proxy_pass http://backend;
# 若是认证请求，跳过 Set-Cookie 缓存，并主动清除它
proxy_ignore_headers Set-Cookie;
proxy_hide_header Set-Cookie;
# 同时防止后端返回的 Cookie 被客户端接收（可选）
if ($should_block_cookie) {
add_header Set-Cookie "deleted=1; expires=Thu, 01 Jan 1970 00:00:01 GMT; path=/;" always;
}
}
}
✅ 关键点：proxy_ignore_headers Set-Cookie 让 Nginx 不把后端的 Set-Cookie 当作缓存键的一部分；proxy_hide_header 阻止它发给客户端；add_header ... always 可覆盖式注入空 Cookie（需 always 保证非 2xx 响应也生效）。
基于 User-Agent 或路径动态脱敏响应头内容
有些头虽非完全敏感，但含可识别信息（如 X-Request-ID: abc123-def456），需对爬虫或未登录用户做简化：
http {
map $http_user_agent $anonymize_request_id {
~*python-requests|curl|httpie|bot 1;
~*Mobile.*Android|iPhone 0; # 移动端保留
default 0;
}
map $request_uri $anonymize_by_path {
~^/healthz|/metrics 1;
~^/api/v1/user/profile 0;
default 0;
}
}
server {
location / {
proxy_pass http://backend;
# 组合两个条件：只在满足任一脱敏条件时替换 X-Request-ID
if ($anonymize_request_id = 1) {
more_set_headers "X-Request-ID: anon-$time_iso8601";
}
if ($anonymize_by_path = 1) {
more_set_headers "X-Request-ID: health-$pid";
}
}
}
? 提示：more_set_headers 是第三方模块（ngx_http_headers_more_filter_module），需编译启用；若无法安装，可用 add_header + always 配合 proxy_hide_header 实现“覆盖式隐藏”，但无法动态生成值。
不复杂但容易忽略。
