Nginx邮件代理认证异常问题求助

已配置Nginx代理处理邮件请求，但认证环节出现异常。后端认证脚本返回的响应头如下：

HTTP/1.1 200 OK
Server: nginx
Date: Sat, 30 Jul 2022 04:09:00 GMT
Content-Type: text/html; charset=UTF-8
Transfer-Encoding: chunked
Connection: keep-alive
Vary: Accept-Encoding
Auth-Status: OK
Auth-Server: 192.168.1.32
Auth-Port: 110
X-Frame-Options: sameorigin
X-Content-Type-Options: nosniff
X-XSS-Protection: 1; mode=block
X-Download-Options: noopen
X-Permitted-Cross-Domain-Policies: none
Content-Security-Policy: default-src https: data: 'unsafe-inline' 'unsafe-eval'
Referrer-Policy: strict-origin

测试连接Nginx的POP3端口时，收到错误：

-ERR internal server error 
Connection closed by foreign host.

排查后确认后端脚本无异常，Nginx错误日志也无相关记录。观察到USER和PASS认证序列完成（后端已返回成功认证）后，会话会长时间挂起，之后才抛出错误。当前使用的PHP认证函数如下：

function pass($server, $port) {
    header("Auth-Status: OK");
    header("Auth-Server: $server");
    header("Auth-Port: $port");
    flush();
    die();
}

疑问：发送上述响应头后是否还需要额外操作？

问题出在Nginx邮件认证对响应格式的严格要求上，按以下步骤调整即可解决：

1. 移除多余的HTTP响应头
   Nginx邮件认证只需要Auth-Status、Auth-Server、Auth-Port这三个核心头，你脚本返回的安全相关头（如X-Frame-Options、Content-Security-Policy等）会干扰Nginx的认证解析逻辑，必须全部去掉。

2. 强制设置无响应体
   当前脚本返回的Content-Type: text/html和分块编码会让Nginx等待响应体，但认证环节不需要返回任何内容。需明确设置Content-Length: 0，同时确保没有输出任何HTML内容（包括空行）。

3. 修正PHP输出控制逻辑
   flush()无法确保缓冲区被完全清空，建议添加循环清空所有输出缓冲区，避免意外内容输出。修改后的PHP函数如下：

function pass($server, $port) {
    // 清空所有层级的输出缓冲区
    while (ob_get_level()) {
        ob_end_clean();
    }
    // 只保留认证必需的响应头
    header("Auth-Status: OK");
    header("Auth-Server: $server");
    header("Auth-Port: $port");
    // 明确指定无响应体
    header("Content-Length: 0");
    // 关闭连接
    header("Connection: close");
    exit;
}

4. 检查Nginx邮件代理配置
   确保auth_http指向的认证脚本路径正确，且没有额外的proxy_set_header指令给认证请求添加多余头。示例配置：

mail {
    server_name mail.example.com;
    auth_http localhost:80/auth.php;
    pop3_capabilities "TOP" "USER";
    imap_capabilities "IMAP4rev1" "UIDPLUS";
}

调整完成后重新加载Nginx配置，再测试POP3连接即可解决会话挂起和内部错误问题。

内容的提问来源于stack exchange，提问作者baradhili