Nginx限制跨域请求Body大小本质是统一配置请求体上限与CORS响应头：1. 用client_max_body_size（如50m）放宽Body限制；2. 正确设置Access-Control-Allow-*等响应头，并单独处理OPTIONS预检；3. 前后端需协同调整限制，避免Nginx放行后被后端拦截。
直接在 Nginx 中限制跨域请求的 Body 大小，本质是统一配置请求体限制与跨域响应头，而非“为跨域单独设限”。Nginx 本身不区分请求是否跨域，它对所有请求一视同仁；所谓“跨域请求的 Body 限制”，其实是：当后端 API 需支持 CORS（跨域资源共享）时，你既要让浏览器能发大 Body（如上传文件、提交长 JSON），又要确保 Nginx 不因默认限制而提前拒绝请求。
1. 设置请求体大小上限（核心配置）
Nginx 默认限制请求体为 1MB（client_max_body_size 1m），超过即返回 413 Request Entity Too Large。若你的 API 接收大 JSON、Base64 图片或表单上传，需显式调大：
- 在
http、server或location块中添加：
client_max_body_size 20m;（例如允许最大 20MB） - 推荐放在
location块内，精准控制某组 API：location /api/ {<br> client_max_body_size 50m;<br> proxy_pass http://backend;<br>} - 注意：该指令不能出现在 if 块中，且单位支持
k、m、g（如100k、2g）
2. 正确配置 CORS 响应头（确保跨域请求不被拦截）
仅放宽 Body 限制还不够——浏览器预检（OPTIONS）请求必须通过，且实际请求需收到合法 CORS 头，否则即使 Body 没被拦，也会因跨域策略失败。关键头包括：
-
add_header 'Access-Control-Allow-Origin' '*';（生产环境建议指定域名，如
https://your-app.com） - add_header 'Access-Control-Allow-Methods' 'GET, POST, PUT, DELETE, OPTIONS';
-
add_header 'Access-Control-Allow-Headers' 'DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Range,Authorization';（务必包含
Content-Type，否则带 JSON 的 POST 可能失败） - 对 OPTIONS 预检请求，需直接返回 204：
location /api/ {<br> if ($request_method = 'OPTIONS') {<br> add_header Access-Control-Allow-Origin *;<br> add_header Access-Control-Allow-Methods GET,POST,PUT,DELETE,OPTIONS;<br> add_header Access-Control-Allow-Headers Content-Type,Authorization;<br> add_header Access-Control-Max-Age 86400;<br> add_header Content-Length 0;<br> add_header Content-Type text/plain;<br> return 204;<br> }<br>}
3. 配合后端与客户端的关键细节
Nginx 层的限制只是第一道关卡，还需前后端协同：
-
后端框架也要检查 Body 限制：如 Express 的
express.json({ limit: '50mb' })、Spring Boot 的spring.servlet.context-path=/api+server.tomcat.max-http-post-size=52428800，否则 Nginx 放行后，后端仍可能报错 -
前端发送时避免触发预检的“安全请求”：若只用
GET/POST+Content-Type: application/x-www-form-urlencoded或text/plain，可绕过 OPTIONS；但一旦用application/json或自定义 header（如Authorization），就必然触发预检——此时上面的 OPTIONS 配置就必不可少 -
超大 Body 上传建议用分块或直传：Nginx 虽可设 1G，但长连接易超时；应同步调整
client_header_timeout、client_body_timeout和proxy_read_timeout
4. 验证与调试方法
配置生效后，用 curl 快速验证是否真正放行大 Body 并返回正确 CORS 头：
- 模拟大 Body POST：
curl -X POST https://your-api.com/api/data \<br> -H "Content-Type: application/json" \<br> -H "Origin: https://test.com" \<br> --data-binary @large-payload.json \<br> -v
观察响应头是否有Access-Control-Allow-Origin，状态码是否为 200 而非 413 - 手动触发预检：
curl -X OPTIONS https://your-api.com/api/data \<br> -H "Origin: https://test.com" \<br> -H "Access-Control-Request-Method: POST" \<br> -H "Access-Control-Request-Headers: Content-Type" \<br> -v
确认返回 204 且含完整 CORS 头 - 检查 Nginx 错误日志：
tail -f /var/log/nginx/error.log，出现client intended to send too large body说明client_max_body_size仍不足
