Nginx安全之道：揭秘underscores_in_headers指令的关键作用

1. underscores_in_headers是什么？

在Nginx配置中，underscores_in_headers是一个非常特殊的指令，它控制Nginx是否接受包含下划线（_）的HTTP请求头。默认情况下，该指令的值为off，这意味着Nginx会忽略所有包含下划线的HTTP请求头。

例如，如果客户端发送了一个包含X_Custom_Header的请求，在默认配置下，Nginx会静默丢弃这个头部字段，该字段不会传递给后端应用程序。这种行为可能会导致应用程序出现不可预见的问题，特别是当应用程序依赖这些自定义头部时。

2. 为什么Nginx默认拒绝下划线请求头？

这一行为源于HTTP规范和安全考虑：

1. 历史原因：早期的HTTP规范（RFC 2616）对HTTP头部字段名称的命名规则有严格限制，不鼓励使用下划线。虽然现代HTTP规范（RFC 7230）放宽了这一限制，但Nginx保留了保守的默认设置。
2. 安全考量：一些CGI/FastCGI实现会将HTTP头部转换为环境变量，下划线在环境变量名中是合法的，而连字符（-）通常会被转换为下划线。这可能导致头部字段名称冲突或被恶意利用。
3. 规范一致性：HTTP头部字段名称传统上使用连字符（-）而非下划线（_）作为分隔符，如Content-Type、User-Agent等，Nginx的默认行为鼓励遵循这一约定。

3. 如何启用下划线请求头处理

要允许Nginx处理包含下划线的请求头，需要在配置文件中明确开启此功能：

http {
    underscores_in_headers on;
    # 其他配置...
}

这个配置可以在http块、server块或location块中设置，作用域遵循Nginx的继承规则：

• 在http块中设置会影响所有虚拟主机
• 在server块中设置只影响特定的虚拟主机
• 在location块中设置只影响特定的URL路径

4. 安全隐患与最佳实践

虽然启用underscores_in_headers可以提高与某些应用程序的兼容性，但也存在潜在安全风险：

1. CGI/FastCGI环境变量注入：在某些后端配置中，启用下划线可能增加服务器受到环境变量注入攻击的风险。
2. 头部混淆：当同时存在X-Custom-Header和X_Custom_Header时，可能导致应用程序行为不一致。

最佳实践建议：

• 除非应用程序明确需要，否则保持默认设置（off）
• 如需开启，仅在特定的server或location块中启用，而非全局http块
• 审核所有使用下划线的自定义头部，确保它们不会与环境变量冲突
• 在应用程序设计时尽量使用连字符（-）而非下划线（_）命名HTTP头部

5. 实际应用场景

以下场景可能需要启用underscores_in_headers：

1. 微服务架构： 当不同团队开发的微服务需要通过自定义头部（如X_Service_Token）进行身份验证时。

2. 遗留系统集成： 与依赖下划线头部的老旧系统集成时，如某些Java应用程序可能使用JSESSIONID_CUSTOM等头部。

3. API网关： 作为API网关时，可能需要传递上游服务的自定义头部，如X_Rate_Limit_Remaining。

6. 排查与调试技巧

如果怀疑应用程序问题与underscores_in_headers有关，可以：

1. 开启Nginx的debug日志：

error_log /var/log/nginx/error.log debug;

2. 使用curl测试头部传递：

curl -H "X_Custom_Header: test_value" -v http://your-server/

3. 在Nginx配置中添加测试代码：

location /test-headers {
    add_header Content-Type text/plain;
    return 200 $http_x_custom_header;  # 如果为空，说明被忽略了
}

7. 与其他Web服务器对比

不同Web服务器对下划线请求头的处理方式：

Web服务器	默认行为	配置方法
Nginx	拒绝下划线头部	underscores_in_headers on/off
Apache	接受下划线头部	无需特殊配置
IIS	接受下划线头部	无需特殊配置
Caddy	接受下划线头部	无需特殊配置

8. 性能影响

启用underscores_in_headers对性能的影响几乎可以忽略不计。这是一个简单的字符验证过程，不会增加明显的CPU或内存开销。

总结

underscores_in_headers是Nginx中一个容易被忽视但可能对应用程序兼容性产生重大影响的配置指令。了解其工作原理和安全影响，可以帮助我们在保证安全的前提下，灵活调整Nginx配置以适应不同应用程序的需求。

在现代Web应用开发中，建议遵循HTTP规范使用连字符（-）而非下划线（_）来命名请求头，但对于需要与遗留系统集成或有特殊需求的场景，合理配置underscores_in_headers可以解决兼容性问题，提高系统整体稳定性。

无论采用哪种配置，都应该确保团队成员了解相关规范，并在API文档中明确说明HTTP头部的命名约定，以避免因头部字段被静默丢弃而导致的难以排查的问题。