Nginx仅能控制Cookie头的转发、清空或覆盖，无法加密或脱敏；应通过proxy_set_header Cookie "";清空，或用map提取重写部分字段，再配合隐藏Set-Cookie、禁用日志记录等措施实现安全隔离。
Nginx 本身不能对 Cookie 值做加密、脱敏或字段级重写，它只能控制是否转发、清空或用固定值覆盖整个 Cookie 请求头。真正的敏感 Cookie 处理应在后端完成，Nginx 的角色是“拦截”和“隔离”，防止原始 Cookie 泄露给后端或被日志记录。
彻底清空 Cookie 请求头（最常用）
适用于无状态 API 或已迁移到 Token 认证的场景。配置后，后端将收不到任何 Cookie：
- 在对应 location 中添加：
proxy_set_header Cookie ""; - 注意：空字符串会发送一个空头（
Cookie:），多数后端视同未设置；若需完全不发送该头，需配合underscores_in_headers on;及自定义逻辑，但实践中清空已足够安全
按规则过滤特定 Cookie 字段（需 map 配合）
当必须透传部分 Cookie（如 user_id），但要隐去敏感字段（如 email 或 phone）时，可用 map 提取并重写：
- 在 http 块中定义映射：
map $http_cookie $safe_cookie {<br> ~*user_id=([^;]+);.*email=([^;]+) "user_id=$1; email=REDACTED";<br> ~*user_id=([^;]+) "user_id=$1";<br> default "";<br>} - 再在 location 中使用：
proxy_set_header Cookie $safe_cookie; - 该方式仅支持简单正则匹配，无法处理嵌套或复杂编码值
注入可信凭证，替代前端传入的敏感值
避免让客户端携带密钥类 Cookie（如 api_key、session_token），改由 Nginx 统一注入可信值：
-
proxy_set_header X-Internal-Auth "svc-token-789";—— 后端据此鉴权，忽略原始 Cookie 中的同类字段 - 同时搭配：
proxy_hide_header Set-Cookie;防止后端返回新的敏感 Cookie 被客户端接收
配套加固措施（不可省略）
单独处理 Cookie 不够，还需阻断其他泄露路径：
- 禁用
$http_cookie记入 access_log：自定义 log_format 时剔除该变量 - 关闭调试模式：确保后端不返回含 Cookie 值的错误堆栈（如 PHP 的
display_errors = Off） - 拦截敏感路径：用
location ~ /\. { deny all; }等规则防止.env、config.php被直接访问
