В ваших примерах обе конфигурации

On Tuesday 15 December 2015 07:58:50 r.golovachev@rian.ru wrote:
> Здравствуйте, нам сканер безопасности выдал уязвимость, (копипаст ниже), мы стали разбираться, и выяснили вот что:
>
> При таком куске конфига
>
> port_in_redirect off;
> if ($request_uri !~ "\?"){
> rewrite ^(?!(load|loadfm)/)([^.]*[^/])$ $uri/ permanent;
> }
>
[..]
> При этом, если в конфиге поменять uri на request_uri - то всё нормально
>
> if ($request_uri !~ "\?"){
> rewrite ^(?!(load|loadfm)/)([^.]*[^/])$ $uri/ permanent;
> }
>
[..]

Вы прислали два идентичных примера конфигурации (с точностью до директивы
port_in_redirect), поэтому не очень понятно где и что было заменено.

При этом редирект с заголовком Set-Cookie по всей видимости выдал не nginx,
а ваш бекенд.

--
Валентин Бартенев
_______________________________________________
nginx-devel mailing list
nginx-devel@nginx.org
http://mailman.nginx.org/mailman/listinfo/nginx-devel