最直接、原生的禁用方式是用proxy_set_header headername ""设为空字符串，nginx将其识别为删除该请求头；需加双引号，适用于x-forwarded-for、user-agent、origin等高风险或冗余头的按需清理。
在 Nginx 反向代理中，禁用特定请求头转发最直接、原生的方式，是用 proxy_set_header 将其值设为空字符串 ""。Nginx 会识别该空值为“删除该头”，而不是传递一个空内容的头字段。
用空字符串精准删除请求头
只需在 location 或 server 块中添加对应配置：
-
proxy_set_header X-Forwarded-For "";—— 防止伪造 IP 链，尤其在单层可信代理下无需透传 -
proxy_set_header User-Agent "";—— 隐藏客户端指纹，避免后端基于 UA 做不必要判断 -
proxy_set_header Referer "";—— 若后端不依赖来源页信息，可统一剥离 -
proxy_set_header Origin "";—— 配合 CORS 控制逻辑，由 Nginx 主动设置响应头而非信任客户端 Origin -
proxy_set_header Proxy-Connection "";—— 移除 HTTP/1.0 遗留字段，避免干扰连接复用
注意：必须写成双引号包围的空字符串 ""，不能省略引号，也不能写成 off、none 或不带引号的空格。
FastAPI Flask Proxy
下载
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
与 proxy_pass_request_headers off 的区别
proxy_pass_request_headers off 是全局关闭所有客户端原始请求头的透传，属于“全关”策略；而 proxy_set_header HeaderName "" 是“按需删”，保留其他头的默认行为，更灵活可控。
- 若只需清理几个高风险或冗余头（如
User-Agent、X-Forwarded-For），推荐用空字符串方式 - 若后端完全不依赖任何客户端头，且要求强隔离（如内部系统对接），再考虑
proxy_pass_request_headers off，但必须配合proxy_set_header显式补全必要头（如Host、X-Real-IP）
哪些头适合禁用？关键看后端是否真需要
不是所有头都该删，重点清理那些：易伪造、无业务用途、可能暴露敏感信息或干扰逻辑 的字段：
-
X-Forwarded-For：上游已可信时重复添加反而增加伪造风险 -
User-Agent：后端仅做日志归档或统计时，统一抹除可降低指纹攻击面 -
Accept-Encoding：后端不支持解压（如静态文件服务），保留可能导致 406 或响应异常 -
Origin：CORS 由 Nginx 统一控制时，不应让客户端随意指定 -
Connection、Keep-Alive等连接类头：Nginx 已管理连接生命周期，透传无意义且可能干扰
验证是否生效
修改后务必验证后端实际收到的请求头：
- 用
curl -v观察 Nginx 发往后端的请求（可通过后端日志、调试接口或抓包确认） - 检查目标头是否彻底消失，而非变成空值（如
User-Agent:表示仍存在，User-Agent字段缺失才表示删除成功） - 确认关键功能不受影响，比如 IP 获取、重定向生成、协议识别等
