必须在location块中用proxy_hide_header屏蔽后端跨域头，再由Nginx用add_header always统一注入合规头，并单独拦截OPTIONS请求返回204；否则浏览器将报“cannot contain multiple values”错误。

直接在 location 块里用 proxy_hide_header 屏蔽后端返回的跨域头，再由 Nginx 统一注入干净、合规的头——这是避免浏览器报错“cannot contain multiple values”的唯一可靠方式。

必须屏蔽的后端跨域响应头

后端（如 Spring Boot、Express、FastAPI）若自行开启 CORS，会返回以下头，它们和 Nginx 的 add_header 叠加就会触发跨域拦截：

• Access-Control-Allow-Origin
• Access-Control-Allow-Methods
• Access-Control-Allow-Headers
• Access-Control-Allow-Credentials
• Access-Control-Expose-Headers
• Access-Control-Max-Age

这些指令必须写在 proxy_pass 之后，且仅对当前 location 生效。例如：

location /api/ {
    proxy_pass http://backend;
    proxy_hide_header Access-Control-Allow-Origin;
    proxy_hide_header Access-Control-Allow-Methods;
    proxy_hide_header Access-Control-Allow-Headers;
    proxy_hide_header Access-Control-Allow-Credentials;
    proxy_hide_header Access-Control-Expose-Headers;
    proxy_hide_header Access-Control-Max-Age;
}

屏蔽后必须由 Nginx 主动补上

清掉后端头不是终点，Nginx 必须立刻补上可控、一致的跨域头，否则请求仍会失败。关键点是加 always 参数：

• add_header Access-Control-Allow-Origin "$http_origin" always; —— 动态匹配来源，比 * 更安全
• add_header Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS" always;
• add_header Access-Control-Allow-Headers "DNT,User-Agent,X-Requested-With,Content-Type,Authorization" always;
• add_header Access-Control-Allow-Credentials "true" always; —— 注意：不能和 * 同时用

不加 always，401、500、204 等非 200 响应就不会带跨域头，前端拿不到错误详情。

aperture: the L402 aware reverse proxy

安装并运行 Aperture（Lightning Labs 的 L402 闪电反向代理），用于创建 L402 付费墙、配置付费 API 端点、为其他代理托管付费内容或测试 L402 认证流程。

下载

单独处理 OPTIONS 预检请求

浏览器发的预检请求不该穿透到后端，否则容易因后端未处理而返回 404 或 500，导致跨域失败。应在 location 内提前拦截：

if ($request_method = 'OPTIONS') {
    add_header Access-Control-Max-Age 1728000;
    add_header Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS";
    add_header Access-Control-Allow-Headers "DNT,User-Agent,X-Requested-With,Content-Type,Authorization";
    add_header Access-Control-Allow-Credentials "true";
    add_header Content-Length 0;
    return 204;
}

这段必须放在 proxy_pass 之前，确保 OPTIONS 请求不转发。

验证是否真正生效

别只看配置文件，要用真实响应验证：

• 用 curl -I https://your-domain/api/xxx 查看响应头
• 确认没有重复的 Access-Control-Allow-Origin
• 检查 401/500 响应里是否仍有跨域头（验证 always 是否生效）
• 对 OPTIONS 请求发起 curl -X OPTIONS -I，确认返回 204 且含完整跨域头

只要后端还在输出跨域头，就一定要先清再加，绕不开这一步。