怎么在 Nginx 反向代理中添加服务器签名隐藏-Nginx-PHP中文网

nginx反向代理中隐藏server头需两步：一是在http/server块设server_tokens off关闭版本号；二是在proxy_pass所在location中用proxy_hide_header server屏蔽后端server头，错误页暴露需用more_clear_headers或lua彻底清除。

怎么在 nginx 反向代理中添加服务器签名隐藏

在 Nginx 反向代理中隐藏服务器签名（即不暴露 Server 响应头中的 nginx 及其版本号），主要通过两个层面控制：一是关闭 Nginx 自身的 Server 头输出，二是防止后端应用（如 Node.js、Tomcat、PHP-FPM）透出自己的 Server 信息被误传或覆盖。

关闭 Nginx 自带的 Server 标识

Nginx 默认会在响应头中添加 Server: nginx/1.24.0 这类字段。要隐藏它，需在配置中启用 server_tokens off;，并确保该指令作用于生效范围（http、server 或 location 块）：

推荐放在 http 块中，全局生效：
http {
server_tokens off;
...
}
若只对某虚拟主机隐藏，可放在对应 server 块内
注意：该指令仅移除版本号，不会删除 Server: nginx 字样；如需彻底去掉 Server 头，需配合 more_clear_headers（需安装 headers-more 模块）或使用 proxy_hide_header 配合自定义响应

屏蔽后端服务透出的 Server 头

当 Nginx 作为反向代理时，上游服务（如 Python Flask、Spring Boot）可能返回自己的 Server 头（例如 Server: Werkzeug/2.3.7）。Nginx 默认会将该头原样转发。需显式禁止：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

在 location 或 server 块中添加：
proxy_hide_header Server;
如果后端还返回 X-Powered-By 等敏感头，也可一并隐藏：
proxy_hide_header X-Powered-By;
确保该指令位于 proxy_pass 所在的 location 内，否则不生效

（可选）彻底移除 Server 响应头

仅用 server_tokens off 和 proxy_hide_header Server 后，Nginx 仍可能在某些情况下（如 404、502 错误页）输出 Server: nginx。要完全抹除该头，有以下方式：

编译安装时添加 --without-http-server-token-module（较复杂，不推荐常规使用）
使用 headers-more-nginx-module：
more_clear_headers 'Server';（需重新编译 Nginx 或使用 OpenResty）
通过 Lua 脚本（OpenResty）在响应阶段清除：
header_filter_by_lua_block { ngx.header.Server = nil }