在Nginx反向代理层用proxy_hide_header屏蔽后端错误或冗余CORS头（如Access-Control-Allow-Origin、Strict-Transport-Security）是最稳妥解法，可避免与Nginx统一配置的跨域策略冲突，并需配合add_header+always确保预检请求生效。
直接在 Nginx 反向代理层用 proxy_hide_header 屏蔽后端错误或冗余的 CORS 响应头，是最稳妥、不依赖后端配合的解法。关键在于：不是所有 CORS 头都该由后端发，尤其当 Nginx 已统一管控跨域策略时，后端再返回冲突的 Access-Control-Allow-Origin 或 Strict-Transport-Security，反而会触发浏览器拒绝响应。
为什么后端 CORS 头会引发冲突
常见场景是：Nginx 已配置了正确的跨域响应头（如 add_header Access-Control-Allow-Origin "*"），但后端服务（如 Spring Boot、Node.js）也自行返回了 Access-Control-Allow-Origin: http://localhost:3000。此时浏览器收到两个不同值的同名响应头，将直接报错并拦截响应——HTTP 规范不允许重复的 CORS 关键头。
另一个典型冲突是后端强制返回 Strict-Transport-Security（HSTS），而你当前走的是 HTTP 开发环境或测试子域名，浏览器会因 HSTS 策略拒绝加载资源。
用 proxy_hide_header 精准屏蔽问题头
在对应 location 块中添加以下指令，即可阻止这些头透传到浏览器：
proxy_hide_header Access-Control-Allow-Origin;proxy_hide_header Access-Control-Allow-Credentials;proxy_hide_header Strict-Transport-Security;-
proxy_hide_header X-Frame-Options;（若需允许嵌入 iframe）
注意：proxy_hide_header 只影响从后端 proxy_pass 接收的响应头，不影响你在 Nginx 中用 add_header 主动设置的头。所以可放心先隐藏、再统一补全：
location /api/ {
proxy_pass http://backend:8080;
proxy_hide_header Access-Control-Allow-Origin;
proxy_hide_header Strict-Transport-Security;
<pre class='brush:php;toolbar:false;'># 由 Nginx 统一注入合规的 CORS 头
add_header Access-Control-Allow-Origin "*" always;
add_header Access-Control-Allow-Methods "GET, POST, OPTIONS, PUT, DELETE" always;
add_header Access-Control-Allow-Headers "DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Range,Authorization" always;
add_header Access-Control-Expose-Headers "Content-Length,Content-Range" always;
add_header Access-Control-Allow-Credentials "true" always;}
安装并运行 Aperture（Lightning Labs 的 L402 闪电反向代理），用于创建 L402 付费墙、配置付费 API 端点、为其他代理托管付费内容或测试 L402 认证流程。
必须搭配 always 参数才能覆盖预检响应
对 OPTIONS 预检请求，Nginx 默认不会给 add_header 指令加响应头（除非显式声明 always）。如果你没加 always，浏览器发预检时收不到 CORS 头，仍会失败。
所以务必在每个 add_header 后加上 always，例如：
add_header Access-Control-Allow-Origin "*" always;add_header Access-Control-Max-Age "86400" always;
验证是否生效
重启 Nginx 后，用 curl 检查响应头：
curl -I http://your-domain.com/api/test
观察输出中是否还存在被屏蔽的头（如 Strict-Transport-Security），同时确认 Access-Control-Allow-Origin 是你 Nginx 设置的值，而非后端原样透传的值。
也可在浏览器 DevTools 的 Network → Response Headers 标签页中直观比对。
