proxy_hide_header在负载均衡中仅作用于proxy_pass后的location响应阶段，须逐行配置屏蔽后端敏感头（如server、x-powered-by），并配合server_tokens off、proxy_set_header server "";及自定义错误页才能彻底隐藏。
在 Nginx 负载均衡场景中，proxy_hide_header 本身不直接参与 upstream 调度，它作用于每个 location 的代理响应阶段——也就是说，只要该 location 使用了 proxy_pass 指向一个 upstream 组，你就可以在该 location 内配置 proxy_hide_header 来屏蔽后端节点返回的敏感头。
必须写在 location 块内、proxy_pass 之后
这是生效的前提。Nginx 不允许在 http 或 upstream 块中使用该指令，也不接受它出现在 proxy_pass 之前。例如：
upstream backend_cluster { server 10.0.1.10:8080; server 10.0.1.11:8080; }location /api/ { proxy_pass http://backend_cluster; proxy_hide_header Server; proxy_hide_header X-Powered-By; proxy_hide_header X-AspNet-Version; }
每行只写一个头，大小写不敏感但建议按标准格式（如 X-Powered-By），不能用逗号分隔或通配符。
重点隐藏哪些后端响应头
负载均衡后端通常是多个同构服务（如 Spring Boot 集群、Node.js 实例），它们可能统一注入以下敏感头：
CPA Update - Secure CLI Proxy API Maintenance
下载
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
-
Server：暴露后端服务器类型和版本（如
Server: Apache-Coyote/1.1或Server: gunicorn/21.2.0） -
X-Powered-By：泄露语言框架（如
X-Powered-By: Express、X-Powered-By: PHP/8.2.12） -
X-Application-Context：Spring Boot 默认返回环境名（如
X-Application-Context: application:prod） - X-Debug-Token、X-Trace-ID：调试或追踪头，非必要时不应透出
- X-Minio-Deployment-Id、X-Amz-Request-Id：若后端是 MinIO 或 S3 兼容存储，这些头泄露集群唯一标识
彻底隐藏 Server 头需三步协同
单靠 proxy_hide_header Server 只能屏蔽后端返回的 Server，Nginx 自身仍可能输出 Server: nginx，尤其在错误页中。要真正“看不见”，必须同时做三件事：
- 在
http块中全局关闭版本标识：server_tokens off; - 在对应
location中屏蔽后端透传：proxy_hide_header Server; - 在同一 location 中强制清空该字段：
proxy_set_header Server "";
这三者缺一不可，否则 curl -I 仍可能看到残留值。
别忘了错误页这个漏洞点
负载均衡下，502、503 等错误响应由 Nginx 直接生成，此时 proxy_hide_header 完全不生效。默认错误页会硬编码显示 nginx/1.24.0 等字样。必须配合：
error_page 502 503 504 /5xx.html;- 提供自定义的纯静态错误页（不含任何版本或技术栈信息）
- 确保后端服务自身也关闭调试页面（如 Spring Boot 的
server.error.whitelabel.enabled=false）
