Nginx HTTP上下文add_header未在部分server上下文生效问题排查

问题描述 #

我在nginx.conf的主HTTP上下文中配置了如下add_header指令：

add_header X-Frame-Options "SAMEORIGIN";
add_header X-XSS-Protection "1; mode=block";

所有server及location上下文均未手动配置其他同类指令，但部分server上下文并未应用这些响应头，例如以下server配置：

server {
        server_name my.example.com;
        location / {
            proxy_pass http://192.168.1.1:12345;
        }

        location /robots.txt {
            return 200 "User-agent: *\nDisallow: /\n";
        }

        client_max_body_size 300M;
    
        listen 443 ssl; # managed by Certbot
        ssl_certificate fullchain.pem; # managed by Certbot
        ssl_certificate_key privkey.pem; # managed by Certbot
        include options-ssl-nginx.conf; # managed by Certbot
        ssl_dhparam ssl-dhparams.pem; # managed by Certbot
    }

补充信息：Nginx版本为1.23.3，/etc/letsencrypt/options-ssl-nginx.conf内容如下：

ssl_session_cache shared:le_nginx_SSL:10m;
ssl_session_timeout 1440m;
ssl_session_tickets off;

ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers off;
# + one line of ssl_ciphers

可能的原因分析 #

1. 引入的配置文件包含add_header指令 #

你的server块通过include options-ssl-nginx.conf;引入了Certbot生成的配置文件。默认情况下，Certbot生成的该文件会包含HSTS头部的add_header配置，例如：

add_header Strict-Transport-Security "max-age=63072000" always;

根据Nginx的规则，当server块中存在任何add_header指令（哪怕是通过include引入的），主HTTP块的add_header不会被继承，导致你配置的X-Frame-Options等头部无法生效。

2. add_header未指定always参数，仅对特定状态码生效 #

默认状态下，add_header仅会为状态码为200、201、204、206、301、302、303、304、307、308的响应添加头部。如果你的请求返回其他状态码（如404、502等），这些头部不会被添加。若需要对所有状态码生效，需修改主HTTP块的配置为：

add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-XSS-Protection "1; mode=block" always;

3. 后端服务器返回同名响应头 #

对于使用proxy_pass的location /，如果后端服务器（http://192.168.1.1:12345）返回了X-Frame-Options或X-XSS-Protection头部，会覆盖Nginx主HTTP块配置的对应头部，导致你看不到Nginx添加的头。

4. 配置未正确重载 #

若修改nginx.conf后未执行重载命令，新的add_header规则不会生效。可执行以下命令重载配置：

nginx -s reload
# 或使用systemd管理的方式
systemctl reload nginx

内容的提问来源于stack exchange，提问作者Cirrocumulus