如何利用ignore_invalid_headers过滤非法请求头-Nginx-PHP中文网

ignore_invalid_headers 控制 Nginx 是否忽略非法 HTTP 请求头名：on 时静默丢弃并继续处理，off 时立即返回 400；仅校验 header 名合规性（RFC 7230），不影响 header 值，也不替代内容过滤。

如何利用ignore_invalid_headers过滤非法请求头

ignore_invalid_headers 是 Nginx 的一个指令，用于控制是否忽略客户端发送的格式不合法的 HTTP 请求头（例如含空格、控制字符、非 ASCII 字符或不符合 RFC 7230 规范的 header 名）。它本身不“过滤”请求，而是决定 Nginx 遇到非法 header 时是直接拒绝请求（返回 400 Bad Request），还是跳过该 header 继续处理。

作用机制：开启后跳过非法 header，而非拦截请求

默认情况下（ignore_invalid_headers on），Nginx 会静默丢弃无法解析的请求头字段，请求仍可正常进入 location 匹配和后端转发流程。若设为 off，只要发现任一 header 名不符合 token 规则（如包含空格、冒号、斜杠、控制字符等），Nginx 就立即返回 400，并不记录到 access_log（除非用 custom log_format 显式记录 $status）。

只影响 header 字段名（如 User-Agent、X-Forwarded-For），不影响 header 值的内容校验
不识别自定义 header 中的语义错误（比如 X-Auth-Token: invalid!! 仍会被透传）
常见触发场景：恶意扫描器伪造 header（Host: example.com\r\nX-Scan: 1）、旧版客户端拼写错误（Contetn-Type）、编码异常的中文 header 名（极少，因 RFC 禁止）

典型配置方式与位置

该指令可在 http、server 或 location 块中使用，建议在 http 块统一设置，避免遗漏：

http {
    ignore_invalid_headers off;  # 更严格：非法 header 直接拒收
    # ignore_invalid_headers on; # 默认值，静默忽略
    ...
}

设为 off 可增强安全性，防止某些 header 注入类绕过（如干扰 WAF 解析逻辑）
生产环境慎用 off：部分合规性差的 IoT 设备、老旧 SDK 可能发送轻微违规 header，导致大量 400
搭配 log_format 和 $invalid_header 变量（需 patch 或新版 OpenResty）可记录具体哪个 header 出问题，但原生 Nginx 不提供该变量

它不能替代真正的请求头过滤

如果目标是主动拦截含特定非法内容的请求（如 header 值含 SQL 关键字、script 标签、超长值等），ignore_invalid_headers 完全不适用。应使用：

map + if 判断 $http_* 变量（注意 if 在 location 外不推荐）
OpenResty 的 Lua 模块（ngx.req.get_headers() + 正则匹配）
外部 WAF（如 ModSecurity）做深度 header 内容检测
Nginx Plus 的 auth_request 模块对接鉴权服务做 header 校验

验证是否生效的小技巧

用 curl 发送含非法 header 名的请求测试：

curl -H "User Agent: test" http://your-domain/  # 空格导致非法字段名
curl -H "Host: a.com" -H "X-Test:1" http://your-domain/  # 合法，无影响

若 ignore_invalid_headers on（默认）：请求成功，User Agent 被忽略，$http_user_agent 为空
若 off：返回 400，响应体为空，access_log 中 status=400
注意：curl 自动修正部分非法 header（如首字母大写、空格），可用 printf + nc 构造原始请求更准确