Linux Nginx 转发请求头时怎么防止头部注入安全漏洞-Nginx-PHP中文网

最有效的防御是禁用$http_host和$host透传，改用$proxy_host、固定域名或清空host头，并配合x-real-ip加固及host白名单拦截；同时前置default_server拒绝非法host，统一覆盖x-forwarded-for等关键头，限制头部大小防绕过。

linux nginx 转发请求头时怎么防止头部注入安全漏洞

防止 Nginx 转发请求头时出现头部注入漏洞，核心是**不信任客户端输入、主动控制转发内容、分层拦截非法值**。Host 头是最典型、危害最大的注入入口，但 User-Agent、Referer、X-Forwarded-* 等也常被滥用。下面从最关键的三个层面给出可直接落地的配置建议。

绝不能让客户端传来的 Host 值原样转发给后端。以下写法必须禁用：

proxy_set_header Host $http_host; —— 完全暴露，含端口、大小写、任意域名，攻击者 curl -H "Host: evil.com" 即可生效
proxy_set_header Host $host; —— 表面标准化，实则仍来自用户输入，不可信

推荐三种安全替代方案（任选其一）：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

用 $proxy_host：取自 proxy_pass 地址，如 proxy_pass http://api:8000; → Host 头自动设为 api:8000，与业务域名解耦，最推荐
设固定后端域名：如 proxy_set_header Host api.internal;，适用于单租户、后端只认一个名字的场景
清空 Host 头（谨慎）：proxy_set_header Host "";，仅在确认后端完全不依赖 Host 时使用，否则可能返回 400

只修 Host 不够。攻击者会转向 X-Forwarded-For、X-Real-IP、X-Forwarded-Proto 等字段做伪造或链式污染：

proxy_set_header X-Real-IP $remote_addr; —— 强制覆盖，确保后端拿到真实源 IP
proxy_set_header X-Forwarded-For $remote_addr; —— 不拼接原始值，避免伪造链（如 $http_x_forwarded_for）
proxy_set_header X-Forwarded-Proto $scheme; —— 明确告知后端协议，防混合内容或跳转错误
proxy_hide_header Server; 和 proxy_hide_header X-Powered-By; —— 隐藏技术栈，减少攻击面

在请求进入 proxy_pass 逻辑前，就筛掉明显异常的请求：

每个 server 块必须显式声明合法域名：server_name example.com www.example.com;
额外定义一个 default_server，监听相同端口但不设 server_name，里面写：return 444;（静默断连）或 return 403;
过滤可疑 User-Agent 或 Referer：
if ($http_user_agent ~* "(script|alert|onerror|curl|sqlmap|nmap)") { return 403; }
if ($http_referer ~* "(%3C|%3E|javascript:|data:text/html)") { return 403; }