防止nginx泄露敏感信息需从源头控制：精简响应头（如server_tokens off、隐藏x-powered-by）、禁止敏感文件访问（deny .env/.git等）、自定义错误页并关闭目录索引，同时添加x-frame-options等安全响应头。
防止 Nginx 服务器响应泄露敏感信息，关键不是“事后过滤”，而是从源头控制输出内容、精简暴露面、切断高危路径。核心动作集中在响应头管理、错误页面控制、目录与文件访问限制三方面。
隐藏或精简 HTTP 响应头
Nginx 默认会在响应中暴露 Server 版本、后端框架标识等，这些是攻击者侦察的第一手线索。
- 在 http 块 中添加
server_tokens off;，让响应头中的Server: nginx不再带版本号（如不再显示nginx/1.22.1） - 移除
X-Powered-By等后端自动生成的指纹头：用proxy_hide_header X-Powered-By;（针对 proxy_pass 场景）或fastcgi_hide_header X-Powered-By;（PHP 场景） - 若已安装
headers-more-nginx-module，可进一步清除或重写头：more_clear_headers "Server";或more_set_headers 'Server: Web-Proxy';
禁止敏感文件与目录被直接访问
攻击者常通过构造路径尝试读取 .env、.git/config、备份文件等。Nginx 必须主动拦截，而非依赖“文件不存在”默认行为。
- 全局禁用隐藏文件访问：
location ~ /\. { deny all; } - 显式屏蔽常见敏感路径：
location ~* \.(env|git|htaccess|log|bak|swp)$ { deny all; } - 关闭目录索引（防文件列表）：
autoindex off;（建议在 server 或 location 块中显式声明）
管控错误页面与响应内容
默认 404、500 页面可能泄露路径结构、后端技术甚至堆栈片段；JSON 或 HTML 响应中若含明文敏感字段，也需前置干预。
- 使用自定义错误页代替默认提示：
error_page 404 /404.html;，并确保该页面不包含调试信息 - 对敏感接口（如登录、密码重置）单独配置，启用
proxy_intercept_errors on;并指向静态错误页，避免后端错误详情回传 - 若需动态脱敏响应体（如隐藏手机号、token），可用
sub_filter，但注意：仅支持字面量替换、必须显式声明sub_filter_types application/json;、且需关闭 gzip（或加gzip off;临时配合）
补充：响应头安全加固不可少
除了隐藏信息，还要主动添加防护型响应头，降低被利用风险：
-
add_header X-Frame-Options "DENY" always;防止点击劫持 -
add_header X-Content-Type-Options "nosniff" always;阻止 MIME 类型嗅探 -
add_header Referrer-Policy "strict-origin-when-cross-origin" always;避免 Referer 泄露敏感参数 -
add_header Content-Security-Policy "default-src 'self';" always;限制资源加载来源
