如何通过Nginx配置proxy_hide_header有效移除后端Server信息以增强网站安全性？

本文共计656个文字，预计阅读时间需要3分钟。

可以使用以下命令在Nginx反向代理中移除HTTP头：

为什么需要隐藏 Server 头

后端应用（如 Tomcat、Node.js、Django）默认会在 HTTP 响应头中返回 Server: nginx/1.24.0 或 Server: Apache/2.4.52 等信息。这类信息虽不直接导致漏洞，但为攻击者提供了技术栈线索，可能辅助指纹识别、版本探测或已知 CVE 利用。Nginx 本身不会自动隐藏后端的 Server 头，需显式配置。

正确配置 proxy_hide_header

该指令必须放在 location 块或 server 块中，且仅对代理响应生效（即配合 proxy_pass 使用）。注意：proxy_hide_header 不影响 Nginx 自己生成的 Server 头（那是由 server_tokens 控制），只作用于上游返回的响应头。

• 在对应 location 中添加：
  proxy_hide_header Server;
• 若还需隐藏其他敏感头（如 X-Powered-By），可多行写：
  

  proxy_hide_header Server;<br>proxy_hide_header X-Powered-By;<br>proxy_hide_header X-AspNet-Version;

• 确保未被 proxy_pass_request_headers on 类配置覆盖（默认就是 off，无需额外设置）

配套安全建议

单靠隐藏 Server 头不够，建议组合使用：

• 关闭 Nginx 自身的版本标识：
  server_tokens off;（放在 http、server 或 location 块中）
• 避免在错误页中泄露信息：设置 error_page 404 /404.html; 并自定义静态页面，禁用 fastcgi_intercept_errors 等可能透出后端细节的选项
• 验证是否生效：用 curl -I https://your-domain.com 查看响应头，确认无 Server: 行（或只剩 Nginx 默认的 Server: nginx，此时说明后端头已被成功隐藏）

常见误区提醒

proxy_hide_header 不是万能开关：

• 它不能隐藏 Nginx 自己添加的 Server 头——那是 server_tokens 的职责
• 它对非代理请求（如 root + index.html 静态服务）无效
• 若后端通过 Set-Cookie、响应体或重定向 Location 泄露信息，该指令无法处理
• 某些框架（如 Spring Boot）可能通过 /actuator/health 等端点返回 Server 相关字段，需单独配置接口权限或响应过滤