如何配置Nginx拦截Pragma请求头防范客户端恶意强制刷新回源-Nginx-PHP中文网

最有效方式是在nginx的server或location块中拦截非法pragma头：仅允许空值或严格等于no-cache，其余返回403；并配合cache-control做一致性校验，防止绕过；cdn回源通常不带pragma，故公网带非空pragma请求可判为非法直连。

如何配置nginx拦截pragma请求头防范客户端恶意强制刷新回源

直接在 Nginx 的 server 或 location 块中拦截带有非法或可疑 Pragma 请求头的请求，是最有效的方式。因为 Pragma: no-cache 本身是 HTTP/1.0 兼容字段，常被客户端（尤其是老旧爬虫、测试工具或恶意脚本）滥用，绕过 CDN 缓存直连源站，造成回源压力甚至缓存污染。

识别并拒绝非法 Pragma 头

HTTP 标准中，Pragma 仅合法值为 no-cache（且应与 Cache-Control: no-cache 配合使用）。但攻击者常伪造如 Pragma: refresh、Pragma: bypass、Pragma: force 等非标值来试探源站行为。Nginx 可用 if + 正则精准拦截：

在 server 块内添加：

if ($http_pragma !~ ^$|^no-cache$) {
    return 403;
}

该规则含义：只允许 Pragma 头为空（即未携带）或严格等于 no-cache；其余全部返回 403。
注意：$http_pragma 是 Nginx 自动映射的变量，不区分大小写，无需额外转换。

配合 Cache-Control 做一致性校验

单拦 Pragma 不够稳健——攻击者可能只发 Cache-Control: no-cache 而不带 Pragma。建议同步校验二者逻辑是否自洽：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

若 Pragma: no-cache 出现，但 Cache-Control 缺失或不含 no-cache / max-age=0，可视为可疑：

用 map 构建组合判断变量（更高效，避免多层 if）：

map "$http_pragma:$http_cache_control" $bad_cache_hint {
    default 0;
    "no-cache:" 1;
    "no-cache:private" 1;
    "no-cache:max-age=3600" 1;
    ~*":.*no-cache" 0;
    ~*":.*max-age=0" 0;
}