需用proxy_hide_header隐藏后端CORS头，避免与Nginx add_header重复导致浏览器拒绝响应；必须在location块内配置，并配合add_header统一管控Access-Control-Allow-Origin等头，确保预检通过。
直接在 Nginx 反向代理配置中用 proxy_hide_header 屏蔽后端返回的 CORS 头，能有效避免与 Nginx 自己添加的 CORS 头冲突——这是解决“HeaderDisallowedByPreflightResponse”或浏览器报“CORS header ‘xxx’ cannot be set”这类错误的关键一步。
为什么需要隐藏后端 CORS 头？
当 Nginx 作为反向代理时，如果后端（如 Spring Boot、Node.js）已自行设置了 Access-Control-Allow-Origin 等头，而 Nginx 又在 location 块里用 add_header 再加一遍，就可能出现：
- 同一响应中出现多个同名 CORS 头（如两个
Access-Control-Allow-Origin），违反 HTTP 规范 - 浏览器拒绝解析，尤其在预检（OPTIONS）响应中易触发
HeaderDisallowedByPreflightResponse - Nginx 的
add_header不会覆盖后端头，而是追加，导致头部重复或值不一致
正确配置 proxy_hide_header
在对应 location 块内，明确隐藏后端返回的以下常见 CORS 相关响应头：
proxy_hide_header Access-Control-Allow-Origin;proxy_hide_header Access-Control-Allow-Methods;proxy_hide_header Access-Control-Allow-Headers;proxy_hide_header Access-Control-Allow-Credentials;proxy_hide_header Access-Control-Expose-Headers;proxy_hide_header Access-Control-Max-Age;
⚠️ 注意：proxy_hide_header 必须写在 proxy_pass 所在的 location 块内，且不能放在 http 或 server 级别（Nginx 不支持）。
FastAPI Flask Proxy
下载
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
配合 add_header 统一由 Nginx 控制 CORS
隐藏后端头之后，所有 CORS 响应头应由 Nginx 全权管理。例如：
- 允许任意源（开发环境）：
add_header Access-Control-Allow-Origin *; - 允许指定源（生产推荐）：
add_header Access-Control-Allow-Origin https://your-frontend.com; - 支持凭据时必须指定具体域名，不可用
*：add_header Access-Control-Allow-Credentials true; - 处理预检请求：
if ($request_method = 'OPTIONS') { add_header Access-Control-Allow-Origin $http_origin; add_header Access-Control-Allow-Methods 'GET, POST, OPTIONS'; add_header Access-Control-Allow-Headers $http_access_control_request_headers; add_header Access-Control-Allow-Credentials true; add_header Access-Control-Max-Age 86400; return 204; }
验证是否生效
重启 Nginx 后，用 curl 检查响应头是否只剩 Nginx 添加的 CORS 头，且无重复：
curl -I -H "Origin: https://test.com" http://your-nginx-proxy/api/test观察输出中是否只出现一次 Access-Control-Allow-Origin，且值为你在 Nginx 中配置的内容——没有后端残留头，说明 proxy_hide_header 已起作用。
