要精准隐藏后端server等敏感响应头，必须三步协同：proxy_hide_header server（仅屏蔽后端头，须置于proxy_pass后）、server_tokens off（关闭nginx自身版本标识）、proxy_set_header server ""（强制清空所有server头），并配合自定义错误页堵住5xx页面泄露。
要隐藏后端服务器返回的原始响应头（比如 Server、X-Powered-By、X-Amz-Request-Id 等），核心是用 proxy_hide_header 指令配合其他关键配置，而不是单靠某一条规则。它只对代理响应头起作用，且必须放在 location 块内、proxy_pass 之后才生效。
确认哪些头需要隐藏
先用 curl -I 或浏览器开发者工具查看后端原始响应，找出暴露敏感信息的字段。常见需屏蔽的有：
-
Server：后端类型与版本（如
nginx/1.22.1、Apache-Coyote/1.1） -
X-Powered-By：框架标识（如
Express、PHP/8.1） -
X-Amz-* 系列：MinIO/S3 兼容服务特有（
X-Amz-Request-Id、X-Minio-Deployment-Id） - X-Application-Context、X-Runtime：Spring Boot、Ruby 等应用常带的调试头
在 location 中逐行配置 proxy_hide_header
该指令不支持通配符或正则，每个要隐藏的头必须单独写一行，大小写不敏感但建议按实际格式书写：
location /static/ {
proxy_pass https://minio-backend/;
proxy_hide_header X-Amz-Request-Id;
proxy_hide_header X-Minio-Deployment-Id;
proxy_hide_header Server;
proxy_hide_header X-Powered-By;
}
注意：proxy_hide_header 只影响后端返回的响应头，对 Nginx 自己添加的 Server 头无效——这部分需另外处理。
彻底隐藏 Server 头需三步协同
仅写 proxy_hide_header Server 很可能失效，因为 Nginx 默认将 Server 视为“受信头”。真正可靠的做法是：
- 在
http或server块中加：server_tokens off;（禁用 Nginx 自身版本号） - 在
location块中加：proxy_hide_header Server;（屏蔽后端透传的值） - 在同一
location中加：proxy_set_header Server "";（强制清空所有已存在的Server头）
验证是否生效
重载配置后，用 curl -I 检查多个场景：
- 正常请求：
curl -I https://your-domain.com/api/users - HTTPS 请求记得加
-k（避免证书错误中断连接） - 主动触发错误页：
curl -I https://your-domain.com/404-test，确认错误页面里也不含Server或版本字样
若响应头中不再出现目标字段，说明配置已生效。
