最干净可靠的方式是在Nginx反向代理层用proxy_hide_header屏蔽后端跨域响应头，再由Nginx统一通过add_header添加合规CORS头，避免浏览器因重复Access-Control-Allow-Origin报错。

直接在 Nginx 反向代理层屏蔽后端返回的跨域响应头，是解决「重复 Access-Control-Allow-Origin 等头导致浏览器报错」最干净、最可靠的方式。关键就是用 proxy_hide_header 指令精准拦截后端自带的 CORS 头，让 Nginx 全权统一管理跨域策略。

为什么必须屏蔽后端跨域头？

当后端（如 Spring Boot、Express、FastAPI）已开启全局 CORS 配置，又在 Nginx 层叠加 add_header Access-Control-Allow-Origin ...，浏览器会收到两个甚至多个同名响应头。例如：

• 后端返回：Access-Control-Allow-Origin: http://test1.com
• Nginx 又加：Access-Control-Allow-Origin: *

此时浏览器直接拒绝响应，报错 Access-Control-Allow-Origin cannot contain multiple values。这不是配置没生效，而是规则冲突被强制拦截。

用 proxy_hide_header 精准过滤哪些头？

需在 location 块或 server 块中显式隐藏以下常见跨域相关响应头：

Nginx Reverse Proxy

配置 Nginx 反向代理，实现域名绑定。用户说“绑定域名”“配置 Nginx”“反向代理”时触发，将域名绑定到指定 IP:端口。

下载

• proxy_hide_header Access-Control-Allow-Origin;
• proxy_hide_header Access-Control-Allow-Methods;
• proxy_hide_header Access-Control-Allow-Headers;
• proxy_hide_header Access-Control-Allow-Credentials;
• proxy_hide_header Access-Control-Expose-Headers;
• proxy_hide_header Access-Control-Max-Age;

注意：proxy_hide_header 只作用于后端响应头，不影响 Nginx 自己通过 add_header 添加的头。它不删除、不修改，只是“不让这些头透出到客户端”。

配合 add_header 统一输出合规跨域头

屏蔽之后，所有跨域头必须由 Nginx 显式添加，且要覆盖 OPTIONS 预检和常规请求两种场景：

• 对 OPTIONS 请求，建议用 if ($request_method = 'OPTIONS') { return 204; } 快速响应，并搭配 add_header 设置预检所需头
• 对非 OPTIONS 请求，统一用 add_header ... always;（always 参数确保即使后端返回 4xx/5xx 状态码，跨域头仍能透出）
• 推荐写法示例：

add_header Access-Control-Allow-Origin "$http_origin" always;
add_header Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS" always;
add_header Access-Control-Allow-Headers "DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Authorization,token" always;
add_header Access-Control-Allow-Credentials "true" always;
add_header Access-Control-Expose-Headers "Content-Length,Content-Range";

验证是否生效的实操方法

部署后，用 curl 模拟真实请求，重点比对「有无后端头残留」：

• 查看原始响应头（不经过 Nginx）：curl -I http://127.0.0.1:8270/api/user —— 应看到后端原始 CORS 头
• 查看代理后响应头：curl -I -H "Origin: https://test1.com" https://test1.com/api/user —— 此时不应再出现后端的 Access-Control-Allow-Origin，只应看到 Nginx 添加的那一条
• 特别检查 OPTIONS 请求：curl -X OPTIONS -I -H "Origin: https://test1.com" -H "Access-Control-Request-Method: POST" https://test1.com/api/user，状态码应为 204，且含完整预检头