Nginx 无法直接对 Cookie 值脱敏，仅支持转发、覆盖或删除请求头；真正脱敏需后端完成，Nginx 仅可配合实现：1. 清空 Cookie 防透传；2. 用 map 正则提取重写字段；3. 结合 Lua 哈希敏感值；4. 删除敏感项后注入脱敏标识。
通过 proxy_set_header 无法直接对 Cookie 值进行“脱敏”（如加密、截断、替换），它只能**转发、覆盖或删除请求头**。真正的 Cookie 脱敏需在后端服务中完成，Nginx 的作用是配合——比如剥离敏感字段、重写 Cookie 头、或阻止原始 Cookie 透传。以下是实用、安全、可落地的实现路径：
1. 阻止原始 Cookie 透传（最简风控）
若后端无需原始用户 Cookie（如仅需认证 token），可清空 Cookie 请求头，避免敏感信息泄露：
location /api/ {
proxy_pass https://www.php.cn/link/65b5b8d1f89bf53a5713bc3afdd83e9e;
proxy_set_header Cookie ""; # 强制设为空字符串，清除所有 Cookie
proxy_set_header X-Real-IP $remote_addr;
}⚠️ 注意：这会导致后端收不到任何 Cookie，适用于无状态 API 或已迁移到 Header Token（如 Authorization: Bearer xxx）的场景。
2. 提取并重写特定 Cookie 字段（如只传 user_id，隐去 email）
Nginx 原生不支持正则提取和重组 Cookie 值，但可通过 map + proxy_set_header 实现简单过滤：
map $http_cookie $safe_cookie {
~*user_id=([^;]+) "user_id=$1";
~*user_id=([^;]+);.*email=([^;]+) "user_id=$1; email=REDACTED";
default "";
}
<p>server {
location /api/ {
proxy_pass <a href="https://www.php.cn/link/65b5b8d1f89bf53a5713bc3afdd83e9e">https://www.php.cn/link/65b5b8d1f89bf53a5713bc3afdd83e9e</a>;
proxy_set_header Cookie $safe_cookie;
}
}</p>✅ 关键点：
-
map在 server/http 级定义，支持正则匹配和分组引用（$1,$2） - 匹配优先级从上到下，建议把更具体的规则放前面
- 未匹配时设为
""，等效于不发送 Cookie 头
3. 替换敏感 Cookie 值为哈希或固定占位符
对高敏感字段（如 session_id、auth_token），可用内置哈希函数做不可逆混淆（适合审计追踪，非强加密）：
阿里百炼大模型平台多人共享账号用量统计代理服务。解决公司共用账号时无法区分个人用量的问题。适用场景：1)部署用量统计代理；2)统计多人Token用量和调用次数；3)管理大模型API调用配额。
map $http_cookie $obfuscated_session {
~*session_id=([^;]+) "$md5($1)"; # 使用 MD5 哈希原始值（Nginx Plus 支持，开源版需 patch 或用 Lua）
default "";
}
<h1>开源 Nginx 用户推荐搭配 lua-nginx-module：</h1><p>location /api/ {
access_by_lua_block {
local cookie = ngx.var.http_cookie
if cookie and string.match(cookie, "session_id=") then
local sid = string.match(cookie, "session<em>id=([^;]+)")
local hash = require "resty.md5".hex("salt</em>" .. sid)
ngx.req.set_header("Cookie", "session_id=" .. hash)
end
}
proxy_pass <a href="https://www.php.cn/link/65b5b8d1f89bf53a5713bc3afdd83e9e">https://www.php.cn/link/65b5b8d1f89bf53a5713bc3afdd83e9e</a>;
}</p>? 提示：纯 Nginx 开源版不支持动态哈希，必须引入 Lua 模块；若无 Lua 条件，建议改由后端统一处理脱敏逻辑，Nginx 仅做透传控制。
4. 删除敏感 Cookie 后，注入脱敏后的替代标识
例如：去掉原始 email=xxx@xx.com，添加 user_key=abc123（该 key 由后端生成并映射）：
map $http_cookie $stripped_cookie {
~*(.*; )?email=[^;]*(;.*)? "$1$2"; # 移除 email=xxx 部分（较粗略）
default $http_cookie;
}
<p>server {
location /api/ {
proxy_pass <a href="https://www.php.cn/link/65b5b8d1f89bf53a5713bc3afdd83e9e">https://www.php.cn/link/65b5b8d1f89bf53a5713bc3afdd83e9e</a>;
proxy_set_header Cookie $stripped_cookie;
proxy_set_header X-User-Key "abc123"; # 固定或通过变量动态设置
}
}</p>? 更健壮做法：用 Lua 解析 Cookie 字符串，精确删/增键值对，再 set_header，避免正则误删。
不复杂但容易忽略：Cookie 脱敏本质是数据权限治理问题，Nginx 是边界守门员，不是加工车间。核心原则是——能由后端做的，优先交给后端；Nginx 聚焦于拦截、路由、轻量重写与头控制。
