Nginx配置CORS需在代理路径下显式设置proxy_pass和proxy_set_header，所有add_header必须加always修饰，OPTIONS预检请求须单独return 204并注入CORS头，且Access-Control-Allow-Origin不能为*时启用credentials。
Nginx 作为 HTTP 代理配置跨域资源共享（CORS）策略，核心是在反向代理过程中统一注入合法 CORS 响应头，并正确处理 OPTIONS 预检请求。关键不是“开启代理”本身，而是代理响应必须携带浏览器认可的跨域许可头，且不能因 Nginx 内部机制导致头丢失。
以下为生产可用的实操要点：
一、确保代理路径明确且独立
只在真正需要跨域的 API 路径下配置 CORS，避免污染静态资源或健康检查接口。例如：
location /api/ {
proxy_pass http://127.0.0.1:3000/;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
}✅ 确保 proxy_pass 后带尾部 /（如 http://backend/），否则路径拼接可能出错；
✅ proxy_set_header 必须显式设置，否则后端可能收不到原始 Host 或客户端 IP。
二、所有 add_header 必须加 always
浏览器对 POST、带 Authorization 的请求会先发 OPTIONS 预检，而 Nginx 默认只在 2xx/3xx 响应中添加 add_header，但 return 204 是无 body 响应，不触发默认注入。
所以必须强制生效：
add_header 'Access-Control-Allow-Origin' 'https://your-fe-domain.com' always; add_header 'Access-Control-Allow-Methods' 'GET, POST, PUT, DELETE, OPTIONS' always; add_header 'Access-Control-Allow-Headers' 'Content-Type, Authorization, X-Requested-With' always; add_header 'Access-Control-Allow-Credentials' 'true' always; add_header 'Access-Control-Max-Age' '1728000' always;
⚠️ 注意：Access-Control-Allow-Origin 不能为 * 时同时设 Access-Control-Allow-Credentials: true，否则浏览器直接拒绝——必须填具体协议+域名（如 https://fe.example.com）。
三、OPTIONS 请求必须单独、干净地处理
不要把 if ($request_method = 'OPTIONS') 和 proxy_pass 写在同一 location 块里——Nginx 不允许在 if 中安全使用 proxy_pass，易导致 502、header 丢失或后端收不到关键头。
正确做法是拆成两个 location，按顺序匹配：
# 先匹配 OPTIONS 预检
location /api/ {
if ($request_method = 'OPTIONS') {
add_header 'Access-Control-Allow-Origin' 'https://your-fe-domain.com' always;
add_header 'Access-Control-Allow-Methods' 'GET, POST, PUT, DELETE, OPTIONS' always;
add_header 'Access-Control-Allow-Headers' 'Content-Type, Authorization, X-Requested-With' always;
add_header 'Access-Control-Allow-Credentials' 'true' always;
add_header 'Access-Control-Max-Age' '1728000' always;
add_header 'Content-Length' 0 always;
add_header 'Content-Type' 'text/plain; charset=utf-8' always;
return 204;
}
}
# 再匹配实际代理
location /api/ {
proxy_pass http://127.0.0.1:3000/;
# ……其他 proxy_set_header
}或者更推荐用嵌套方式（单 location 内用 if + return，但确保 proxy_pass 在 if 外）：
location /api/ {
if ($request_method = 'OPTIONS') {
add_header 'Access-Control-Allow-Origin' 'https://your-fe-domain.com' always;
add_header 'Access-Control-Allow-Methods' 'GET, POST, PUT, DELETE, OPTIONS' always;
add_header 'Access-Control-Allow-Headers' 'Content-Type, Authorization, X-Requested-With' always;
add_header 'Access-Control-Allow-Credentials' 'true' always;
add_header 'Access-Control-Max-Age' '1728000' always;
add_header 'Content-Length' 0 always;
add_header 'Content-Type' 'text/plain; charset=utf-8' always;
return 204;
}
proxy_pass http://127.0.0.1:3000/;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
# ……
}四、验证是否生效
用 curl 模拟预检请求，检查响应头是否完整：
curl -I -X OPTIONS http://your-nginx-domain.com/api/users
确认输出中包含：
-
Access-Control-Allow-Origin: https://your-fe-domain.com -
Access-Control-Allow-Methods: GET, POST, ... -
Access-Control-Allow-Headers: ... - 状态码为
204 No Content
不复杂但容易忽略
