nginx中proxy_set_header的核心作用是主动控制发往上游的http请求头，需结合$proxy_add_x_forwarded_for、$scheme、$host等变量透传真实ip、协议和主机名，并配合set_real_ip_from等指令防范伪造，后端须主动解析对应header。

在 Nginx 反向代理场景中，proxy_set_header 的核心作用是**控制发往上游服务的 HTTP 请求头**，确保真实客户端信息（如 IP、协议、主机名）能被后端正确识别。它不是简单地“转发原始头”，而是需要根据代理层级和安全边界主动设置或覆盖关键字段。

保留真实客户端 IP（X-Forwarded-For）

默认情况下，后端收到的 Remote-Address 是 Nginx 本机 IP。要让后端知道原始用户 IP，需显式构造 X-Forwarded-For：

• 使用 $remote_addr 追加（不是替换），避免丢失中间代理链路信息
• 若 Nginx 前还有 CDN 或 LB，应结合 $http_x_forwarded_for 判断是否已存在该头
• 推荐写法：
  proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;（Nginx 内置变量自动处理空值与追加逻辑）

传递协议与主机信息（X-Forwarded-Proto / X-Forwarded-Host）

后端生成跳转链接或判断 HTTPS 状态时，常依赖这些头：

CPA Update - Secure CLI Proxy API Maintenance

安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。

下载

• proxy_set_header X-Forwarded-Proto $scheme; —— 传 http 或 https
• proxy_set_header X-Forwarded-Host $host; —— 传请求中的 Host 值（非 upstream 地址）
• 注意：若 Nginx 配置了 server_name 且需严格匹配，可改用 $http_host 保留端口信息

清除或覆盖不安全/冗余头

某些头可能暴露代理架构或引发后端误判，需主动清理：

• 用 proxy_set_header Host $host; 覆盖默认的 upstream 域名，避免后端日志记录错误 Host
• 用 proxy_hide_header X-Powered-By; 隐藏后端指纹（虽非 proxy_set_header，但属同一体系）
• 慎用 proxy_pass_request_headers off; —— 会丢弃所有原始头，通常不推荐

适配多级代理链路

当请求经过多个代理（如 CDN → Nginx → 应用），需分层信任：

• 仅从可信上游（如内网负载均衡器）读取 X-Forwarded-For，避免伪造
• 配置 set_real_ip_from + real_ip_header X-Forwarded-For;，让 Nginx 把可信代理的 IP 当作真实客户端
• 此时 $remote_addr 已为真实 IP，$proxy_add_x_forwarded_for 会自动跳过可信段