快捷導(dǎo)航

Nginx 配置 proxy_hide_header 隱藏后端 Server 的版本信息的實(shí)現(xiàn)

更新時(shí)間：2026年04月20日 08:52:36 作者：冷漠man

Nginx反向代理場(chǎng)景中,后端服務(wù)常會(huì)在響應(yīng)頭中暴露版本信息,使用proxy_hide_header指令可以在Nginx層將其過(guò)濾掉,本文就來(lái)詳細(xì)的介紹一下Nginx隱藏后端 Server 的版本信息的實(shí)現(xiàn),感興趣的可以了解一下

為什么 proxy_hide_header Server 通常不起作用

Nginx 默認(rèn)會(huì)將上游響應(yīng)中的 Server 頭視為“受信響應(yīng)頭”，即使你寫(xiě)了 proxy_hide_header Server，它仍可能被透?jìng)骰虮?Nginx 自動(dòng)重寫(xiě)。尤其當(dāng)后端是標(biāo)準(zhǔn) Web 服務(wù)器（如 Apache、Tomcat）且未禁用自身 Server 頭時(shí)，Nginx 的隱藏邏輯容易被繞過(guò)。

真正起效的方式是：讓后端不發(fā) Server 頭 + 讓 Nginx 不添加自己的 Server 頭 + 主動(dòng)清除殘留。

基礎(chǔ)配置

在 location、server 或 http 塊中添加：

location / {
    proxy_pass http://backend;
    # 隱藏后端 Server 版本（如 Apache/2.4.41、nginx/1.18.0 等）
    proxy_hide_header Server;
    # 隱藏其他可能暴露技術(shù)棧的頭部
    proxy_hide_header X-Powered-By;
    proxy_hide_header X-AspNet-Version;
    proxy_hide_header X-Runtime;
}

完整安全加固示例

server {
    listen 80;
    server_name example.com;
    # 1. 隱藏 Nginx 自身版本號(hào)（響應(yīng)頭中只顯示 "nginx" 而不顯示版本）
    server_tokens off;
    location / {
        proxy_pass http://127.0.0.1:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        # 2. 隱藏后端暴露的頭部
        proxy_hide_header Server;
        proxy_hide_header X-Powered-By;
        # 3. 可選：添加安全響應(yīng)頭
        add_header X-Frame-Options "SAMEORIGIN" always;
        add_header X-Content-Type-Options "nosniff" always;
    }
}

關(guān)鍵指令說(shuō)明

指令	作用范圍	說(shuō)明
proxy_hide_header Server	反向代理	移除后端返回的 Server 頭（如 Apache/2.4.41）
server_tokens off	Nginx 自身	隱藏 Nginx 版本號(hào)，錯(cuò)誤頁(yè)面也不顯示版本
more_clear_headers Server	Nginx 自身	需要 headers-more-nginx-module 模塊，可完全移除 Server 頭

注意事項(xiàng)

proxy_hide_header 只影響后端返回的頭：如果要完全移除 Nginx 自身的 Server: nginx 頭，需要安裝第三方模塊 headers-more-nginx-module：

more_clear_headers Server;

檢查是否生效：

curl -I http://example.com

確認(rèn)響應(yīng)頭中不再包含 Server 和 X-Powered-By。

如果后端是 Nginx：后端也需要配置 server_tokens off;，否則它會(huì)將帶版本的 Server 頭傳給前端 Nginx。

這樣配置后，響應(yīng)頭中的服務(wù)器版本信息就會(huì)被有效隱藏，減少被針對(duì)性掃描攻擊的風(fēng)險(xiǎn)。

到此這篇關(guān)于Nginx 配置 proxy_hide_header 隱藏后端 Server 的版本信息的文章就介紹到這了,更多相關(guān)Nginx 隱藏Server版本信息內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！

您可能感興趣的文章: