Nginx处理CORS的核心是显式拦截OPTIONS请求并为所有add_header指令添加always参数，否则预检响应无CORS头导致浏览器报错；必须避免if+proxy_pass混用，推荐拆分为两个location块且预检块前置。
直接说结论：Nginx 处理跨域 CORS 的核心不是“加几个头”，而是必须显式拦截 OPTIONS 请求，并为所有 add_header 指令加上 always 参数，否则浏览器收不到任何 CORS 头，前端必然报错。
为什么 OPTIONS 请求总返回 405 或空响应
因为 Nginx 默认不处理 OPTIONS 方法。如果你只写 if ($request_method = 'OPTIONS') { return 204; }，但没给 add_header 加 always，那这个 return 204 响应里压根没有 Access-Control-Allow-Origin 等头——浏览器只看状态码和响应头，没头就判定预检失败。
-
add_header默认只对 2xx/3xx 响应中由 Nginx 自身生成的 body 生效；return 204是无 body 的快速终止，常规 header 注入逻辑被跳过 - 不加
always，哪怕你写了十行add_header，在if块里也全丢 - 用
curl -I -X OPTIONS http://your-api.com/api/测试，确认响应头里真有Access-Control-Allow-Origin等字段
add_header 必须带 always 参数，否则 CORS 头全丢
所有涉及 CORS 的 add_header 行都得补上 always，包括 Origin、Methods、Headers、Max-Age —— 少一个，预检就可能失败。
- 错误写法：
add_header 'Access-Control-Allow-Origin' '*'; - 正确写法：
add_header 'Access-Control-Allow-Origin' '*' always; - 同理：
add_header 'Access-Control-Allow-Methods' 'GET, POST, PUT, DELETE, OPTIONS' always; - 同理：
add_header 'Access-Control-Allow-Headers' 'Authorization, Content-Type' always; - 如果用了
proxy_pass，这些add_header ... always必须写在同一个location块里，不能写在外部或父块中
不要在同一个 location 里混用 if + proxy_pass
这种写法看似简洁，实则触发 Nginx 的非标准上下文，会导致 proxy_set_header 失效、后端收不到 Host 或 X-Real-IP，最终返回 502。
- 典型错误结构：
location /api/ { if ($request_method = 'OPTIONS') { return 204; } proxy_pass http://backend; } - 推荐拆成两个有序
location：
– 第一个专用于预检：location ~ ^/api/.*$ { if ($request_method = 'OPTIONS') { add_header ... always; return 204; } }
– 第二个负责转发：location /api/ { proxy_pass http://backend; add_header ... always; } - 注意顺序：预检
location必须写在转发location之前，否则 Nginx 可能按字典序匹配，把OPTIONS转发给后端
Access-Control-Allow-Origin 设为 * 还是具体域名
取决于前端是否携带凭证（如 Cookie、Authorization header）。只要 JS 里写了 credentials: 'include'，Access-Control-Allow-Origin 就绝不能是 *，否则浏览器直接拒绝响应。
- 开发环境可临时用
*，上线前必须改掉 - 生产环境建议用
map模块做动态白名单：map $http_origin $cors_origin { https://fe.example.com https://fe.example.com; default ""; }，再写add_header 'Access-Control-Allow-Origin' $cors_origin always; -
Access-Control-Allow-Credentials设为true时，Access-Control-Allow-Origin必须是具体值，且不能省略 - 如果前端有多个合法 origin（如 localhost:3000 + staging.fe.example.com），硬编码单个域名会失效，必须靠
map或反向代理解决
最常被忽略的其实是 always 参数和 if + proxy_pass 的组合陷阱——配置 reload 后 curl 一下 OPTIONS 响应头，比反复刷新页面看控制台报错更可靠。
