Grape框架如何移除HTTP响应中Web服务器注入的响应头？

实现方法 #

Grape框架本身没有封装单独的删除响应头的辅助方法，但可以直接操作响应对象的头集合实现删除，有两种常用方案，按需选择即可。

方案1：直接在before块内删除 #

Grape的路由回调（包括before块）里可以直接访问response对象，它的headers属性是存储所有响应头的哈希结构，直接调用delete方法传入要删除的头名称即可，和Rails的操作逻辑几乎一致：

before do
  # 原有新增响应头的逻辑保留
  header 'X-Robots-Tag', 'noindex'

  # 删除单个响应头，比如要移除的X-Powered-By
  response.headers.delete 'X-Powered-By'

  # 批量删除多个响应头
  unwanted_headers = %w[X-Powered-By X-Runtime Etag]
  unwanted_headers.each { |header_name| response.headers.delete header_name }
end

get '/' do
  # 路由业务逻辑
end

这个方案适合删除Grape框架自身、路由业务逻辑里添加的响应头，写法最简便。

方案2：通过Rack中间件删除（适配Passenger注入头的场景） #

如果要删除的是Passenger这类应用服务器在应用处理流程外注入的响应头，推荐用Rack中间件实现，清理时机更靠后，不会被后续处理环节重新加上头，可靠性更高。
首先定义一个专门清理响应头的极简Rack中间件：

class RemoveResponseHeaders
  def initialize(app)
    @app = app
    # 统一维护要移除的响应头列表
    @target_headers = %w[X-Powered-By Server X-Runtime]
  end

  def call(env)
    # 执行下游应用逻辑拿到完整响应
    status, headers, resp_body = @app.call(env)
    # 遍历删除所有不需要的头
    @target_headers.each { |h| headers.delete(h) }
    # 返回处理后的响应
    [status, headers, resp_body]
  end
end

之后在Grape应用里把这个中间件挂载到最外层（保证它最后处理响应）即可：

class MyApp < Grape::API
  # 注意要放在所有其他use、路由定义的最前面
  use RemoveResponseHeaders

  # 剩下的before回调、路由逻辑正常编写即可
  before do
    header 'X-Robots-Tag', 'noindex'
  end

  get '/' do
    {msg: 'ok'}
  end
end

实测这个方案可以完全移除Passenger自动注入的X-Powered-By头，不会出现只删了版本号、头本身还留着的问题，完全满足安全合规要求。

内容的提问来源于stack exchange，提问作者alilland