Warning: SimpleXMLElement::asXML(C:\phpstudy_pro\WWW\sitemaps\sitemap_1.xml.tmp): failed to open stream: Permission denied in C:\phpstudy_pro\WWW\dd.php on line 1341
为何要小心Nginx的add_header指令详解-网络知识 - AI智能索引
温馨提示：本站仅提供公开网络链接索引服务，不存储、不篡改任何第三方内容，所有内容版权归原作者所有
AI智能索引来源：http://www.35.com/zx/51351.html
点击访问原文链接

为何要小心Nginx的add_header指令详解-网络知识

进入原网站 导航首页
为何要小心Nginx的add_header指令详解-网络知识 三五互联知识库 首页 域名知识 虚拟主机知识 云服务器知识 企业邮箱知识 常见问题 网站建设 网络知识 三五互联 关注我们 三五互联   网络知识  为何要小心Nginx的add_header指令详解 为何要小心Nginx的add_header指令详解 2019-04-04 分类：网络知识 阅读(4261) 编辑君 大家都知道，nginx配置文件通过使用add_header指令来设置response header。

昨天无聊用curl查看一个站点的信息，发现返回的头部与想象中的不一样：

HTTP/2 200 date: Thu, 07 Feb 2019 04:26:38 GMT content-type: text/html; charset=UTF-8 vary: Accept-Encoding, Cookie cache-control: max-age=3, must-revalidate last-modified: Thu, 07 Feb 2019 03:54:54 GMT X-Cache: Miss server: cloudflare ... 主站点在nginx.conf中配置了HSTS等header：

add_header Strict-Transport-Security "max-age=63072000; preload"; add_header X-Frame-Options SAMEORIGIN; add_header X-Content-Type-Options nosniff; add_header X-XSS-Protection "1; mode=block"; 但响应头部没有这些header。除了常规的header，仅出现了一个配置配置在location中的header X-Cache。

第一印象是CDN过滤了这些header？于是找Cloudflare的文档，没发现会对这些进行处理。转念一想，CDN过滤这些干啥啊？吃饱了撑的啊？他们又不搞zheng审那一套！

问题转移到Nginx的配置上。打开Google搜索”nginx location add_header”，果然发现不少槽点。点开官网add_header的文档，有这样的描述（其他信息已省略）：

There could be several add_header directives. These directives are inherited from the previous level if and only if there are no add_header directives defined on the current level. 注意重点在“These directives are inherited from the previous level if and only if there are no add_header directives defined on the current level. ”。即：仅当当前层级中没有add_header指令才会继承父级设置。所以我的疑问就清晰了：location中有add_header，nginx.conf中的配置被丢弃了。

这是Nginx的故意行为，说不上是bug或坑。但深入体会这句话，会发现更有意思的现象：仅最近一处的add_header起作用。http、server和location三处均可配置add_header，但起作用的是最接近的配置，往上的配置都会失效。

但问题还不仅于此。如果location中rewrite到另一个location，最后结果仅出现第二个的header。例如：

location /foo1 { add_header foo1 1; rewrite / /foo2; } location /foo2 { add_header foo2 1; return 200 "OK"; } 不管请求/foo1还是/foo2，最终header只有foo2：

尽管说得通这是正常行为，但总让人感觉有点勉强和不舒坦：server丢掉http配置，location丢掉server配置也就算了，但两个location在同一层级啊！

不能继承父级配置，又不想在当前块重复指令，解决办法可以用include指令。

参考

Nginx Module ngx_http_headers_module Nginx add_header configuration pitfall Be very careful with your add_header in Nginx! You might make your site insecure add_header directives in location overwriting add_header directives in server nginx 配置之 add_header 的坑

赞(0) 声明：本网站发布的内容（图片、视频和文字）以原创、转载和分享网络内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。邮箱：3140448839@qq.com。本站原创内容未经允许不得转载，或转载时需注明出处：三五互联知识库 » 为何要小心Nginx的add_header指令详解 headernginx 上一篇
移动建站是什么 下一篇
深入理解Bash中的尖括号用法 猜你还会喜欢下面的内容nginx默认端口nginx默认端口号PHP-FPM和Nginx的通信机制利用PHP如何统计Nginx日志的User Agent数据PHP中常用header头定义汇总Nginx中worker connections问题解决办法linxu服务器上nginx启动、关闭、配置检查命令解决nginx/apache静态资源跨域访问问题详解Linux系统下Nginx支持ipv6配置的方法Nginx中accept锁的机制与实现详解nginx配置ssl实现https访问的步骤（适合新手）nginx中的listen指令实例解析Nginx单IP地址配置多个SSL证书的方法示例主机Nginx + Docker WordPress Mysql搭建的详细步骤深入理解Nginx中Server和Location的匹配逻辑nginx+php出现No input file specified解决办法热门标签其他问题云服务器问题域名及账户问题企业邮局市场咨询云服务器云建站/云站群/小程序虚拟主机企业邮箱网络知识域名注册域名备案域名商标注册云主机更多标签... © 2010-2026   三五互联知识库   三五互联旗下IDC知识库，为您提供域名注册,企业邮箱,虚拟主机,云服务器,云计算,网站建设等领域专业的知识介绍！

闽ICP备2023011970号

wordpress template system recommended themebetter

请求次数：61 次，加载用时：0.166 秒，内存占用：8.48 MB 切换注册登录 用户名或邮箱 找回密码 密码 记住我 切换登录注册 昵称 邮箱

智能索引记录