如何利用 proxy_set_header 保持多层代理下的连接信息传递-Nginx-PHP中文网

proxy_set_header用于准确传递原始客户端连接上下文信息，包括x-real-ip/x-forwarded-for、x-forwarded-proto、host等关键头，需逐层追加而非覆盖，并清除hop-by-hop头以保障下游正确识别来源与协议。

如何利用 proxy_set_header 保持多层代理下的连接信息传递

在多层代理（如 Nginx → Nginx → 应用服务）场景中，proxy_set_header 不是用来“保持连接”，而是用来**准确传递原始客户端的连接上下文信息**，比如真实 IP、协议类型、主机名等。HTTP 本身是无状态的，连接生命周期由 TCP 层和 HTTP Connection 头控制；而 proxy_set_header 的作用是在请求转发链路中补全或修正被代理抹除的关键字段，避免下游服务误判来源。

必须透传的核心头信息

若不显式设置，Nginx 默认会丢弃或重写部分请求头。以下三项是多层代理中最常遗漏、也最关键的：

真实客户端 IP：用 proxy_set_header X-Real-IP $remote_addr; 或更稳妥的 X-Forwarded-For 追加模式（proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;），确保后端能拿到最外层真实 IP，而非上一跳代理的内网地址。
原始协议与端口：用 proxy_set_header X-Forwarded-Proto $scheme; 和 proxy_set_header X-Forwarded-Port $server_port;，让后端生成正确 HTTPS 链接或做安全跳转判断。
原始 Host 域名：用 proxy_set_header Host $host;（不是 $http_host），防止因代理修改 Host 导致虚拟主机路由失败或证书校验异常。

避免头信息污染与覆盖

多层代理中，每个中间节点都可能添加自己的 X-Forwarded-* 头。若简单覆盖，会丢失上游信息；若不做处理，又可能被伪造。建议：

CPA Update - Secure CLI Proxy API Maintenance

安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。

下载

首层入口代理（面向公网）使用 $remote_addr 初始化 X-Forwarded-For；后续每层只追加，不覆盖 —— 这正是 $proxy_add_x_forwarded_for 的设计意图。
对敏感头如 Authorization 或 Cookie，除非业务明确需要，否则不要用 proxy_set_header 转发，避免越权泄露。
禁用默认继承：Nginx 默认会把客户端发来的某些头（如 Connection、Keep-Alive）直接透传，但这些头只对当前跳有效。可在配置中显式清除：proxy_pass_request_headers off; 后再按需设置，更可控。

配合 Connection 头管理长连接行为

Connection: keep-alive 是逐跳（hop-by-hop）语义，不跨代理生效。Nginx 默认会处理并维护与上游的长连接池，但需注意：

确保 proxy_http_version 1.1; 已启用，否则 HTTP/1.0 下默认短连接。
用 proxy_set_header Connection ''; 清空客户端带的 Connection 头，防止它被错误透传到上游，干扰 Nginx 自身的连接复用策略。
通过 keepalive 指令（如 upstream { keepalive 32; }）配置与后端的空闲连接保活数，这才是真正影响吞吐的关键。