如何巧妙使用proxy_hide_header解决后端安全策略头部冲突导致的解析错误问题？

本文共计670个文字，预计阅读时间需要3分钟。

plaintextproxy_hide_header 不能解决安全策略头部的突发产生的解析错误——它只负责删除。

为什么 proxy_hide_header 对 CSP 冲突无效

浏览器对 Content-Security-Policy 等关键安全头有严格语法要求：必须唯一、格式合法、不能多值。但 proxy_hide_header 只能屏蔽后端返回的该头，无法干预 Nginx 自己用 add_header 添加的副本。如果配置中同时存在：

proxy_hide_header Content-Security-Policy; add_header Content-Security-Policy "default-src 'self';";

而上游又返回了另一个 Content-Security-Policy，Nginx 默认会把两个头都发给客户端（除非显式禁用后端头并确保自身只写一次），结果就是：

Content-Security-Policy: default-src 'self'; Content-Security-Policy: script-src 'unsafe-inline';

这种多值响应头违反 HTTP 规范，现代浏览器直接忽略整条策略，甚至中断资源加载。