Nginx 应在网关层直接响应 OPTIONS 预检请求并返回 204，避免穿透至 Node.js；需配置 Access-Control 相关头，关闭 Node.js 的 CORS 预检处理，实现高效协同。
在前后端分离架构中，浏览器发起跨域请求时会先发送一个 OPTIONS 预检请求，用于确认后端是否允许该跨域操作。如果 Node.js 后端未正确处理 OPTIONS 请求，Nginx 可能将它直接转发过去，导致额外的请求开销、延迟甚至 404/500 错误。优化的关键不是“禁用”预检，而是让 Nginx 在网关层高效响应它，避免穿透到 Node.js 应用。
明确哪些请求会触发 OPTIONS 预检
并非所有跨域请求都会触发预检。只有满足以下任一条件时，浏览器才会先发 OPTIONS：
- 使用了自定义请求头（如 Authorization、X-Request-ID）
- 请求方法不是 GET、HEAD、POST
- POST 的 Content-Type 不是 application/x-www-form-urlencoded、multipart/form-data 或 text/plain
常见场景如带 token 的 JSON 请求（Content-Type: application/json）必然触发预检。确认业务中哪些接口属于此类，有助于聚焦优化范围。
Nginx 层直接响应 OPTIONS 请求
Node.js 通常无需业务逻辑处理 OPTIONS，因此最轻量的做法是在 Nginx 中拦截并返回 204 响应。示例配置如下：
location /api/ {
if ($request_method = 'OPTIONS') {
add_header Access-Control-Allow-Origin "*";
add_header Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS";
add_header Access-Control-Allow-Headers "DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Authorization,Accept,Origin";
add_header Access-Control-Max-Age 1728000;
add_header Access-Control-Allow-Credentials true;
add_header Content-Length 0;
add_header Content-Type text/plain;
return 204;
}
proxy_pass http://node_backend;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}
注意：add_header 指令在 if 块中生效需确保 Nginx 版本 ≥ 1.7.0；若用旧版本，可改用 map + add_header 全局方式规避限制。
与 Node.js 的 CORS 配置协同避免重复响应
如果 Node.js 使用了 cors 中间件（如 express-rate-limit 或 cors()），需关闭其对 OPTIONS 的自动处理，否则可能造成响应冲突或冗余头信息：
- Express 中启用 cors 时设置 preflightContinue: false（默认值，已足够）
- 确保 Node.js 不监听 OPTIONS 路由，或显式跳过 —— 除非需要动态鉴权（极少见）
- 统一由 Nginx 控制 CORS 头，Node.js 仅专注业务响应
这样既减少 Node.js 进程负担，又提升预检响应速度（通常从 ~20ms+ 降至
调试与验证要点
上线前建议通过 curl 或浏览器开发者工具验证实际行为：
- 执行 curl -I -X OPTIONS https://your-domain.com/api/users，检查是否返回 204 且含预期 CORS 头
- 对比关闭/开启 Nginx OPTIONS 拦截时，Chrome Network 面板中 OPTIONS 请求的 “Size” 和 “Time” 差异
- 确认真实业务请求（如 POST /api/login）在预检通过后，后续请求仍携带正确 Authorization 等头且被 Node.js 正常接收
特别注意：若后端要求凭证（withCredentials: true），则 Access-Control-Allow-Origin 不能为 *，需动态匹配 Origin 头，此时 Nginx 需配合 map 指令做白名单校验。
