proxy_set_header proxy "" 无法修复 httpoxy 漏洞，因为它只控制 nginx 转发给 upstream 的请求头，不影响其传递给 php-fpm 的 http_proxy 环境变量；真正有效的是 fastcgi_param http_proxy ""; 在 fastcgi_pass 前清除该变量。
直接在 Nginx 的 location 或 server 块中使用 proxy_set_header Proxy "" 无法修复 HTTPoxy 漏洞，因为它只影响 Nginx 作为反向代理时**向外转发请求**所携带的请求头，而 HTTPoxy 的根本问题发生在 Nginx 将用户原始请求头（含恶意 Proxy）传递给后端 CGI/FastCGI 进程的过程中。
为什么 proxy_set_header Proxy "" 不起作用
HTTPoxy 漏洞触发路径是：客户端发送 Proxy: http://evil.com → Nginx 接收并按 CGI 规范（RFC 3875）将该头转为环境变量 HTTP_PROXY=http://evil.com → PHP/FastCGI 子进程继承该环境变量 → Guzzle、cURL 等库读取 HTTP_PROXY 并自动走代理 → 敏感外发请求被劫持。
proxy_set_header 控制的是 Nginx 自己发给 upstream（如另一台后端服务器）的请求头，对它传给本地 php-fpm 的环境变量完全无影响。
真正有效的修复方式：在 FastCGI 通信层清除 HTTP_PROXY
必须在 Nginx 将请求交给 php-fpm 前，显式清空或覆盖掉可能被污染的 HTTP_PROXY 环境变量。标准做法是在 fastcgi_params 或对应配置中设置：
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
- fastcgi_param HTTP_PROXY ""; —— 最常用，直接置空该变量
- 或 fastcgi_param HTTPS_PROXY "";、fastcgi_param ALL_PROXY "";（一并清理常见代理变量）
该指令需放在 fastcgi_pass 之前，且通常写在 location ~ \.php$ 块内或引入的 fastcgi 配置文件中。
补充加固建议
-
从源头过滤请求头：在 server 或 http 块中添加
underscores_in_headers off;（默认即关闭），并用map或if+return 400拦截含Proxy头的请求（非必需但更彻底） -
升级运行时：PHP 5.6.24+ 已默认忽略
Proxy请求头，不再生成HTTP_PROXY环境变量；Guzzle 7+ 也默认禁用环境变量代理 -
检查应用代码：避免在脚本中直接调用
getenv("HTTP_PROXY")或未校验地使用该值构造代理配置
典型安全配置片段
在你的 Nginx PHP 处理区块中应包含：
location ~ \.php$ {
include fastcgi_params;
fastcgi_param HTTP_PROXY "";
fastcgi_param HTTPS_PROXY "";
fastcgi_pass 127.0.0.1:9000;
}
