Nginx反向代理中配置安全传输响应头的核心是统一在server块注入HSTS、CSP、X-Content-Type-Options等头，其中HSTS需在HTTPS server块用always参数启用并建议先设max-age=300灰度验证，CSP应从Report-Only模式起步、按资源来源精确配置并避免unsafe-inline，其他头协同禁用MIME嗅探、防点击劫持和控制Referer泄露。
在 Nginx 反向代理中配置安全的传输相关响应头，核心是让浏览器强制执行 HTTPS、限制内容加载来源、防止 MIME 类型混淆等。这些头不是由后端应用生成的，而应在 Nginx 层统一注入，既可靠又解耦。
启用并强制 HTTPS 通信
确保所有流量走加密通道，避免明文传输被劫持或篡改：
- 在 HTTP server 块 中添加 301 重定向：
return 301 https://$host$request_uri; - 在 HTTPS server 块 中启用 HSTS（HTTP Strict Transport Security），告诉浏览器未来一段时间内只用 HTTPS 访问：
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
注意：首次启用建议先设为max-age=300观察效果，确认无误再延长
设置内容安全策略（CSP）
CSP 是防御 XSS 和数据注入的关键防线，需根据实际资源来源精确配置：
- 基础策略示例（适用于静态资源托管+少量内联脚本）：
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' https:; img-src 'self' data: https:; font-src 'self'; style-src 'self' 'unsafe-inline'; connect-src 'self'; frame-ancestors 'none'; base-uri 'self'; form-action 'self';" always; - 生产环境应移除
'unsafe-inline'，改用非ces（nonce）或哈希白名单；connect-src需明确列出 API 域名，如connect-src 'self' https://api.example.com; - 建议先启用报告模式观察违规行为：
add_header Content-Security-Policy-Report-Only "default-src 'self'; report-uri /csp-report;" always;
补充关键安全响应头
这些头协同工作，加固浏览器端防护面：
-
X-Content-Type-Options：禁用 MIME 类型嗅探，防止浏览器误解析恶意文件
add_header X-Content-Type-Options "nosniff" always; -
X-Frame-Options：防止页面被嵌入 iframe（防点击劫持），若已用 CSP 的
frame-ancestors可省略add_header X-Frame-Options "DENY" always; -
X-XSS-Protection：兼容旧版浏览器的 XSS 过滤开关（现代浏览器已弃用，但保留无害）
add_header X-XSS-Protection "1; mode=block" always; -
Referrer-Policy：控制 Referer 头发送范围，避免敏感路径泄露
add_header Referrer-Policy "no-referrer-when-downgrade" always;
注意事项与验证方式
安全头必须通过 always 参数强制添加，否则在 304 或错误响应中可能丢失：
- 所有
add_header指令需放在server或location块内，且不能在 if 块中使用（Nginx 会忽略） - 使用
curl -I https://yoursite.com检查响应头是否生效；也可用浏览器开发者工具的 Network → Response Headers 查看 - 若后端应用本身也输出同名头（如 Spring Boot 默认加 CSP），Nginx 的头会覆盖后端——这是预期行为，确保策略由反向代理统一管控
