Nginx中无法直接用proxy_pass过滤URL参数，但可通过rewrite+正则、map白名单或rewrite清空等方式在转发前净化参数；推荐map方案提升性能与可维护性，并需同步清理敏感请求头与Cookie。

在 Nginx 中使用 proxy_pass 转发请求时，无法直接通过 proxy_pass 本身过滤或清理 URL 参数，但可以通过组合 rewrite、set、map 和 proxy_set_header 等指令，在转发前对请求 URI 或参数进行重写与净化。

用 rewrite + 正则提取并重建干净的 URI

这是最常用、最可控的方式：捕获需要保留的参数，丢弃其余所有，再构造新 URI 转发。

示例：只保留 id 和 token 参数，其他全部清除：

location /api/ {
    # 匹配包含 id=xxx&token=yyy 的情况，忽略其他参数
    rewrite ^/api/(.*)$ /api/$1? break;
    # 再用正则提取关键参数（支持多个顺序不定）
    if ($args ~* "id=([^&]+)&token=([^&]+)") {
        set $clean_args "id=$1&token=$2";
        rewrite ^(.*)$ $1?$clean_args? break;
    }
    if ($args ~* "token=([^&]+)&id=([^&]+)") {
        set $clean_args "id=$2&token=$1";
        rewrite ^(.*)$ $1?$clean_args? break;
    }
    # 若只有 id 或只有 token，也做兜底（可选）
    if ($args ~* "id=([^&]+)") {
        set $clean_args "id=$1";
        rewrite ^(.*)$ $1?$clean_args? break;
    }
    if ($args ~* "token=([^&]+)") {
        set $clean_args "token=$1";
        rewrite ^(.*)$ $1?$clean_args? break;
    }
    # 默认清空所有参数
    if ($args !~ "(id=|token=)") {
        rewrite ^(.*)$ $1? break;
    }
<pre class="brush:php;toolbar:false;">proxy_pass http://backend;
proxy_set_header Host $host;

}

⚠️ 注意：if 在 location 中慎用（Nginx 官方不推荐），生产环境建议改用 map + rewrite 组合提升性能和可维护性。

用 map 预定义安全参数白名单（推荐）

利用 map 指令从原始 $args 中提取指定参数值，再拼接成干净查询串。更高效、无 if 副作用。

在 http 块中定义：

CPA Update - Secure CLI Proxy API Maintenance

安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。

下载

map $args $safe_id {
    ~*id=([^&]+) $1;
    default "";
}
map $args $safe_token {
    ~*token=([^&]+) $1;
    default "";
}
map $args $clean_args {
    "~*id=[^&]+&token=[^&]+" "$safe_id&$safe_token";
    "~*token=[^&]+&id=[^&]+" "$safe_id&$safe_token";
    "~*id=[^&]+" "$safe_id";
    "~*token=[^&]+" "$safe_token";
    default "";
}

然后在 location 中使用：

proxy_pass http://backend;

彻底剥离参数，仅转发路径（最简单场景）

如果业务允许「完全忽略所有查询参数」，直接丢弃即可：

• 用 rewrite ... ? break; 清空参数（问号结尾表示空查询串）
• 或用 proxy_pass 不带 URI 尾部，Nginx 默认透传原始参数；若想禁用，必须显式重写

示例：

location /legacy/ {
    # 所有请求都去掉参数，只转发路径
    rewrite ^(.*)$ $1? break;
    proxy_pass http://old-system;
}

补充：避免透传敏感头或 Cookie（常被忽略）

参数清理只是前端一环，后端还可能通过 Header 或 Cookie 传递敏感信息。建议同步清理：

• proxy_set_header Authorization ""; —— 清除认证头
• proxy_set_header Cookie "$allowed_cookie"; —— 只透传白名单 Cookie（需先用 map 提取）
• proxy_hide_header X-Internal-Debug; —— 隐藏后端返回的敏感响应头

不复杂但容易忽略。