location本身不支持直接注入响应头，因其仅负责请求路由；必须配合add_header等指令使用，且该指令不继承父级同名头、需always参数才作用于3xx/4xx/5xx响应。
不能通过 location 指令直接注入自定义响应头。
为什么 location 本身不支持添加响应头
location 块用于匹配 URI 并决定如何处理请求（例如代理、重写、返回静态文件等），它本身不是响应头的设置上下文。Nginx 中设置响应头需使用 add_header、proxy_set_header（仅对上游请求）或 more_set_headers（需第三方模块）等指令，且生效位置有严格限制。
在 location 中正确添加响应头的方法
可在 location 块内使用 add_header 指令向客户端响应中添加自定义头，但需注意以下关键点：
-
继承性与覆盖规则：父级（如
server或http）中的add_header不会自动继承到子location；若子块中定义了任意add_header，则父块中同名头将被完全忽略（Nginx 默认行为）。 -
作用域限制：仅对当前
location内产生的响应生效（如return、proxy_pass成功响应、静态文件服务等），对重定向（301/302）默认不生效——除非显式启用add_header ... always;。 -
always 参数很重要：对于重定向响应（如
return 302或rewrite ... redirect），必须加上always标志才能让头出现在 3xx 响应中：add_header X-Custom-Header "value" always;
常见场景示例
场景1：为 API 接口添加 CORS 头location /api/ {<br>
proxy_pass http://backend;<br>
add_header Access-Control-Allow-Origin "*";<br>
add_header Access-Control-Allow-Methods "GET, POST, OPTIONS";<br>
}
场景2：对特定路径的重定向强制加头location = /old-path {<br>
return 301 https://example.com/new-path;<br>
add_header X-Deprecated "true" always;<br>
}
场景3：避免头丢失（显式继承父级头）
若 server 块已设通用头，又想在某个 location 中额外加头，需手动重复所有必要头：location /secure/ {<br>
add_header X-Content-Type-Options "nosniff";<br>
add_header X-Frame-Options "DENY";<br>
# 注意：X-XSS-Protection 若在 server 中定义，此处不写就会丢失<br>
add_header X-XSS-Protection "1; mode=block";<br>
try_files $uri @fallback;<br>
}
替代方案与注意事项
若需更灵活控制（如条件性加头、修改内置头、支持数组值等），可考虑：
- 使用
headers-more-nginx-module的more_set_headers和more_clear_headers（需编译安装）； - 用
map配合变量 +add_header实现简单条件逻辑； - 避免在
if块中使用add_header（不推荐，易出错且部分版本不生效）。
