nginx 通过丢弃客户端请求头并注入可信值实现安全替代，核心是“不继承、只设置”。需先禁用恶意头（如 host、x-forwarded-for），再用内置变量或固定值重设，配合 proxy_hide_header 和 map 实现精准控制。

Nginx 不能真正“覆盖”客户端传来的请求头，而是通过丢弃原始值 + 主动注入可信值的方式实现安全替代。关键不是覆盖动作本身，而是切断不可信输入、建立可控输出。

清除客户端恶意头再注入可信值

proxy_set_header 的核心逻辑是：不继承、只设置。它不会修改客户端发来的原始请求头，但能决定最终发给后端的是什么。要应对恶意头部（如 X-Request-ID、Host、X-Forwarded-For），必须两步并行：

• 先确保旧值不透传（尤其对可能被伪造的头）
• 再用内置变量或固定值生成新头

常见做法包括：

• proxy_set_header X-Request-ID $request_id; —— 用 Nginx 内置唯一 ID 替代客户端任意值
• proxy_hide_header X-Request-ID; —— 配合使用，防止上游响应中也带干扰项
• proxy_set_header Host $proxy_host; 或 proxy_set_header Host "backend.local"; —— 拒绝客户端 Host，强制使用可信标识

针对不同恶意头的处理策略

Host 头注入风险
攻击者可构造 Host: evil.com 干扰后端重定向或日志。正确做法是：

• 不用 $host 或 $http_host 直接透传
• 改为 proxy_set_header Host $proxy_host;（推荐）或硬编码域名
• 同时禁用危险拼接，如避免 proxy_set_header Host $scheme://$host

X-Forwarded-For 伪造风险
该头常被用于权限判断或限流，若直接信任会导致绕过。应：

• proxy_set_header X-Forwarded-For $remote_addr;（只设一次真实 IP）
• 避免 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;（多层代理才需）
• 若无需该头，直接 proxy_set_header X-Forwarded-For ""; 彻底移除

其他高危头（Proxy、User-Agent、Cookie 等）

• proxy_set_header Proxy ""; —— 清除 Proxy 头，防 HTTPoxy 类漏洞
• proxy_set_header User-Agent ""; —— 统一抹除，减少指纹暴露
• proxy_set_header Cookie ""; —— 适用于前端鉴权后透传 token，而非原始 cookie

动态控制更稳妥（配合 map）

静态配置不够灵活时，可用 map 做条件过滤：

aperture: the L402 aware reverse proxy

安装并运行 Aperture（Lightning Labs 的 L402 闪电反向代理），用于创建 L402 付费墙、配置付费 API 端点、为其他代理托管付费内容或测试 L402 认证流程。

下载

map $http_x_forwarded_for $safe_xff {
    ~^(\d+\.\d+\.\d+\.\d+)$ $1;
    default "";
}
proxy_set_header X-Forwarded-For $safe_xff;

这样只保留合法 IPv4 地址，其余一律清空，比简单赋空更精准。

验证是否生效

部署后可通过以下方式确认：

• 在后端服务 access log 中记录 $http_x_request_id、$http_host 等变量，看是否为 Nginx 生成值
• 用 curl 发送恶意头测试：

  curl -H "X-Request-ID: HACKED" -H "Host: attacker.net" http://your-site/api/test

  检查后端收到的 X-Request-ID 是否为 32 位随机字符串，Host 是否为你设定的值

不复杂但容易忽略