Nginx无法直接用rewrite删除query参数，必须结合map指令重构$args才能安全脱敏；方案一适用于路径敏感段剥离，方案二（map+set）是推荐标准做法，方案三（if+new_uri）需慎用。
直接在 Nginx 的 location 块中用 rewrite 去除或替换 URI 中的敏感参数，是可行但需谨慎的操作。Nginx 本身不解析查询参数（query string）中的键值对，rewrite 只作用于请求路径（path），不能直接“删除某个 query 参数”。所以真正的脱敏，必须结合 map 指令 + rewrite 或 proxy_pass 动态拼接，才能安全、可控地实现。
明确目标：哪些参数需要脱敏？
常见场景如去除 token、secret、auth_code 等。注意区分：
-
路径部分（如
/api/v1/user/123?token=abc中的/api/v1/user/123）——可用rewrite处理 -
查询参数部分（
?token=abc&name=test）——rewrite默认不触碰，需用map+set+proxy_pass构造新 URL
方案一：仅脱敏路径中的敏感段（简单可靠）
适用于敏感信息出现在 path 中（如 /api/token/xxx/user/list），直接用 rewrite 剥离：
location /api/token/ {
rewrite ^/api/token/([^/]+)/(.*)$ /api/$2 break;
proxy_pass http://backend/;
}
效果：GET /api/token/abc123/user/list → 转发为 GET /api/user/list，abc123 从路径中移除，不透传给后端。
方案二：脱敏 query 中指定参数（推荐标准做法）
利用 map 提取并重构 query string，排除敏感字段：
map $args $safe_args {
default "";
"~*^(.*&)?token=[^&]*(?:&(.*)|$)" "$1$2";
"~*^token=[^&]*(?:&(.*)|$)" "$1";
"~*^(.*&)?secret=[^&]*(?:&(.*)|$)" "$1$2";
"~*^secret=[^&]*(?:&(.*)|$)" "$1";
}
<p>server {
location /api/ {
set $args $safe_args;
proxy_pass <a href="https://www.php.cn/link/e9cdc0d9b3ed2648beea6fa520531a71">https://www.php.cn/link/e9cdc0d9b3ed2648beea6fa520531a71</a>;
}
}</p>
说明：
-
map逐条匹配 query 字符串，用正则捕获非敏感部分 -
set $args替换原始 query，等效于“删掉 token=… 和 secret=…” -
$request_uri包含 path + 新的$args，确保转发干净 URI
方案三：强制重写整个请求 URL（精准可控）
当需更严格控制（比如统一抹除多个参数、加审计标记），可完全构造新 URI：
location /api/ {
set $new_uri "/api$request_uri";
<pre class="brush:php;toolbar:false;"># 移除 token 和 secret
if ($args ~* "(.*&)?(token|secret)=[^&]*(?:&(.*))?$") {
set $new_uri "/api$1$3";
}
# 清空 args 并显式拼接（更稳妥）
set $args "";
proxy_pass http://backend$new_uri;}
⚠️ 注意：if 在 location 中慎用，建议优先采用 map 方案；此写法仅作逻辑示意，生产环境应配合 try_files 或 Lua 模块增强健壮性。
补充：日志与审计建议
脱敏后，仍需记录原始请求用于审计（但不落盘敏感值）：
- 用
log_format定义不含敏感参数的日志字段，例如：$uri $args改为$uri $safe_args - 开启
access_log时禁用$request（含完整原始 query），改用结构化字段 - 若合规要求高，可在
proxy_set_header中添加脱敏标识头：proxy_set_header X-Params-Redacted "token,secret";
