关键在于拒绝透传不可信输入，而非过滤；应通过proxy_set_header主动覆盖Host等高风险头，如用$proxy_host或固定值，并同步规范X-Forwarded-*、禁用下划线头、隐藏敏感响应头，最后用curl验证生效。
关键不是“过滤输入”，而是
拒绝透传不可信输入
。Nginx 本身不校验请求头内容，它只负责转发或重写。真正起安全隔离作用的，是通过
主动覆盖、固定或清空高风险请求头，切断攻击链路。
必须重写 Host 头，禁止原样透传
Host 头是最常被滥用的入口。攻击者可任意构造
，若后端未做白名单校验，可能引发重定向跳转、日志注入、租户混淆甚至缓存污染。
❌ 错误写法（直接透传）：
或
✅ 推荐写法（使用上游地址）：
—— 这个值来自
指令，如
，天然可信
✅ 单域名场景可固定：
✅ 极简场景可清空：
（需确认后端不依赖 Host）
同步规范其他易被伪造的代理头
仅处理 Host 不够。X-Forwarded-* 类头部若被客户端随意填写，也会误导后端判断真实来源或协议。
Nginx
在宝塔面板中轻松管理Nginx高性能Web服务器。提供可视化配置反向代理、负载均衡、SSL证书及HTTP缓存功能，一键优化高并发性能，助您高效搭建稳定、快速的网站运行环境。
下载
用
替代
设置
和
，避免 IP 链伪造
显式声明协议：
（$scheme 是 http 或 https）
禁用危险字段解析：
，防止
被误当作
必要时隐藏敏感响应头：
、
主动移除或清空高风险请求头
某些头对后端无用，却可能被用于探测或绕过限制，应明确剥离。
清空 User-Agent：
（减少指纹暴露）
移除 Referer（若业务无需）：
禁用原始 Origin 透传（防 CORS 误配）：
，改由 Nginx 动态控制响应头
用
彻底关闭头透传（极少数严格场景）
验证是否生效的实操方法
配置不是写完就结束，必须验证后端实际收到的头是否符合预期。
用 curl 模拟恶意请求：
检查响应头中的
或自定义调试头，或在后端 access log 中打印
和
确认日志里 Host 字段始终是你设定的
或
，而非
对 X-Forwarded-For 做同样测试：构造
，看后端记录的是不是只有你的 Nginx IP
proxy_set_headerHost: evil.comproxy_set_header Host $host;proxy_set_header Host $http_host;proxy_set_header Host $proxy_host;proxy_passhttp://backend:8080proxy_set_header Host api.example.com;proxy_set_header Host "";$remote_addr$http_x_forwarded_forX-Real-IPX-Forwarded-Forproxy_set_header X-Forwarded-Proto $scheme;underscores_in_headers off;X_User_IDX-User-IDproxy_hide_header Server;proxy_hide_header X-Powered-By;proxy_set_header User-Agent "";proxy_set_header Referer "";proxy_set_header Origin "";proxy_pass_request_headers off;curl -H "Host: attacker.net" -v https://your-domain.com/healthServer$host$http_hostapi.example.combackend:8080attacker.netX-Forwarded-For: 1.1.1.1,2.2.2.2