如何使用proxy_hide_header精确屏蔽缓存响应中的服务器版本号？

本文共计728个文字，预计阅读时间需要3分钟。

要精确移除缓存响应中暴露的，可以直接替换或删除相关代码行。以下是一个示例：

缓存响应中 proxy_hide_header 失效的根本原因

Nginx 缓存模块（proxy_cache）在命中缓存时，会直接复用之前保存的完整响应（包括状态行、头和体）。此时 proxy_hide_header 指令不会重新运行，它只在**上游请求发生时**对新响应生效。因此，若缓存中已存有带 Server: Apache/2.4.52 的响应，后续所有命中该缓存的请求都会透传该头，无论 location 中是否配置了 proxy_hide_header Server。

三步确保缓存响应也干净

• 清空旧缓存并禁用缓存头透传：先执行 proxy_cache_bypass $arg_nocache 或临时设置 proxy_cache_valid any 0s 强制绕过缓存，验证 proxy_hide_header 在非缓存路径下是否真正生效
• 在缓存键中排除敏感头影响：使用 proxy_cache_key 时避免包含可能泄露后端的变量（如 $upstream_http_server），推荐基础写法：
  proxy_cache_key "$scheme$request_method$host$request_uri";
• 强制刷新缓存并注入统一 Server 值：用 add_header 覆盖最终输出，且加上 always 标志确保缓存响应也生效：
  add_header Server "Proxy" always;
  该指令会覆盖响应中的任何 Server 头（包括缓存里原有的），比 proxy_hide_header 更可靠

完整 location 配置示例（含缓存安全）

以下配置同时解决首次代理与缓存响应的 Server 头污染问题：

<!-- 放在 server 或 location 块内 -->

proxy_pass https://backend;<br>proxy_cache my_cache;<br>proxy_cache_valid 200 302 10m;<br>proxy_cache_valid 404 1m;<br><br># 关键：清除后端 Server，且不依赖其存在<br>proxy_hide_header Server;<br>proxy_hide_header X-Powered-By;<br><br># 关键：强制为所有响应（含缓存）设统一 Server 值<br>add_header Server "Proxy" always;<br><br># 确保缓存不记录原始 Server 头（可选增强）<br>proxy_ignore_headers Server X-Powered-By;

验证缓存响应是否真正干净

仅用 curl -I 不够，需确认是缓存命中：

• 加请求头触发缓存：curl -I -H "Cache-Control: no-cache" https://yoursite.com/ → 查看是否仍带 Server
• 检查 Nginx 日志中的 $upstream_http_server 和 $sent_http_server 变量，对比两者是否一致
• 临时关闭缓存，确认无缓存时 Server 已消失；再开启缓存，重复测试，确保 add_header ... always 生效