清理nginx反向代理冗余请求头应“按需删”，用proxy_set_header ""精准删除x-forwarded-for、user-agent等高危/冗余头，避免proxy_pass_request_headers off全局关闭；需验证字段本身是否真正消失。
清理 Nginx 反向代理中冗余的转发请求头，核心是“按需删”，不是全关也不是放任不管。关键在于区分哪些头该传、哪些不该传，再用原生指令精准控制。
哪些请求头最常需要清理
以下头字段在多数业务场景中无实际用途，却可能暴露信息、引发伪造或干扰后端逻辑：
- X-Forwarded-For：单层可信代理下无需透传，留着反而增加 IP 伪造风险
- User-Agent：后端仅做日志归档时，统一抹除可降低客户端指纹暴露面
- Origin：若 CORS 由 Nginx 统一管控（如 add_header Access-Control-Allow-Origin "*"），就不该让客户端随意指定
- Referer：静态资源或内部 API 不依赖来源页判断时，可剥离
- Proxy-Connection、Keep-Alive、TE：HTTP/1.0 遗留字段，Nginx 已自主管理连接，透传无意义且可能干扰
用 proxy_set_header "" 精准删除请求头
这是最轻量、无需额外模块的原生方式。Nginx 将双引号包围的空字符串识别为“删除该头”，而非传递一个空值字段：
- 写法必须带引号：
proxy_set_header X-Forwarded-For ""; - 不能写成
off、none或不带引号的空格 - 配置位置建议放在
location块内，按路径精细化控制
示例：
location /api/ {
proxy_pass http://backend;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For "";
proxy_set_header User-Agent "";
proxy_set_header Origin "";
proxy_set_header Referer "";
}
别和 proxy_pass_request_headers off 混用
proxy_pass_request_headers off 是全局关闭所有原始请求头透传，属于“一刀切”策略。它会同时丢弃 Host、User-Agent、Accept 等必要头，必须手动用 proxy_set_header 补全，否则后端无法正常解析请求。
除非后端完全不依赖任何客户端头（如纯内网系统对接），否则更推荐用空字符串方式——只删高危/冗余项，保留其余默认行为，安全又可控。
验证是否真正删除成功
改完配置别直接上线，先确认目标头确实从发往后端的请求中消失：
- 在后端服务日志里打印
$http_x_forwarded_for、$http_user_agent等变量，看是否为空或未定义 - 用
tcpdump抓后端端口的原始请求包：tcpdump -i lo -A port 8000 | grep -E "^(X-Forwarded-For:|User-Agent:)"，确认对应字段整行缺失 - 注意区分“字段值为空”和“字段本身不存在”——只有后者才算删除成功
