反向代理不仅负责转发流量，也定义了客户端与应用之间的信任边界。默认复制一段配置通常会把不应信任的请求头直接交给后端。

明确真实来源

只有请求确实来自受信任代理时，才能接受 X-Forwarded-For。否则客户端可以自行伪造来源地址，影响审计和访问控制。

限制请求规模

上传大小、请求头大小和超时应根据业务设置。无限等待的上游连接会逐渐占满 worker 和文件描述符。

保持 Host 语义一致

后端依赖域名路由时，应明确传递原始 Host 还是上游 Host。配置不一致会造成回调地址、Cookie 域和重定向错误。