关键在location块用proxy_set_header控制头部，upstream仅定义后端；需显式设Host、X-Real-IP、X-Forwarded-For等，多层代理时配合real_ip_header提取真实IP；HTTP/2下仍需相同设置但注意HPACK兼容性。
要让 upstream 模块正确重写和透传 HTTP 头部，关键不在 upstream 块本身，而在于 proxy_pass 所在的 location 块中使用 proxy_set_header 指令。upstream 只负责定义后端服务器列表和调度策略，真正的头部控制由 proxy 模块执行。
必须显式设置关键头部，否则会被覆盖或丢弃
Nginx 默认会修改 Host、丢弃 X-Forwarded-For、不传递真实客户端 IP。若不干预，后端看到的 Host 是 upstream 中 server 的地址，Remote-Addr 是 Nginx 本机 IP。
-
Host 头推荐用
$http_host：保留原始请求中的 Host 和端口（如 example.com:8080），比$host更准确； -
X-Real-IP 设为
$remote_addr：单层代理时可直接获取用户真实 IP； -
X-Forwarded-For 用
$proxy_add_x_forwarded_for：它会在原有值后追加 $remote_addr，避免手动拼接导致伪造风险； - 其他如 X-Forwarded-Proto、X-Forwarded-Port 也建议按需显式设置，尤其当后端依赖协议或端口做逻辑判断时。
注意不同代理层级下的头部行为差异
如果 Nginx 前面还有 CDN 或其他代理（如 SLB），X-Forwarded-For 可能已含多段 IP。此时仅靠 $proxy_add_x_forwarded_for 不够，需结合 real_ip_header 和 set_real_ip_from 指令识别可信上游，再从 XFF 中提取最左/最右真实 IP。
- 例如：CDN 回源时带 X-Forwarded-For: 203.0.113.5, 198.51.100.1，而你信任 CDN 网段 203.0.113.0/24，则可配置
set_real_ip_from 203.0.113.0/24;+real_ip_header X-Forwarded-For;，之后$remote_addr就是 203.0.113.5； - 这样
X-Real-IP和X-Forwarded-For才真正反映终端用户来源。
HTTP/2 upstream 场景下的额外考虑
当 upstream 后端启用 HTTP/2（需 Nginx ≥1.9.13 并显式配置 http2），头部处理逻辑不变，但要注意：
- HPACK 压缩对 Cookie、User-Agent 等重复头部更敏感，确保后端支持 HTTP/2，否则压缩可能失效或引发解析异常；
- 某些头部（如 Connection、Upgrade）在 HTTP/2 中被禁止透传，Nginx 会自动过滤，无需手动清除；
- 仍需保留
proxy_set_header设置 Host、X-Real-IP 等，HTTP/2 不改变这些语义需求。
常见错误配置与验证方式
配置完成后，务必验证头部是否真实到达后端：
- 在后端服务（如一个简单 Python Flask 接口）中打印所有 request.headers，检查 Host、X-Real-IP、X-Forwarded-For 是否符合预期；
- 避免写成
proxy_set_header X-Forwarded-For $remote_addr;—— 这会覆盖原有值，丢失中间代理信息； - 不要遗漏
proxy_set_header Host $http_host;，否则后端基于 Host 的路由或证书匹配可能失败； - 若使用 HTTPS 回源，记得加
proxy_set_header X-Forwarded-Proto https;，防止后端误判协议跳转。
