Nginx开放Open API跨域接口需精准放行、动态验证、保障安全：通过map指令动态匹配白名单域名设置CORS头，强制校验X-Partner-ID格式，独立处理OPTIONS预检请求，叠加限流与IP防护实现安全可控的合作伙伴接入。
直接在 Nginx 中为合作伙伴开放 Open API 跨域接口，核心是“精准放行、动态验证、不牺牲安全性”。不能简单写 Access-Control-Allow-Origin: *，否则会暴露接口给任意网站；也不能硬编码多个域名，维护成本高且易出错。关键在于把跨域控制和业务权限解耦，由 Nginx 在入口层做轻量级、可验证的判断。
只允许已备案的合作伙伴域名访问
用 $http_origin 动态匹配白名单，配合 map 指令做预校验——既避免 if 块嵌套风险，又支持多域名灵活扩展：
- 在 http 块顶部定义可信域名映射：
map $http_origin $cors_allowed {
default "";
"https://partner-a.com" "https://partner-a.com";
"https://app.partner-b.io" "https://app.partner-b.io";
"https://dashboard.partner-c.dev" "https://dashboard.partner-c.dev";
}- 在 location 块中引用该变量设置响应头：
location /openapi/ {
proxy_pass http://openapi-backend;
proxy_set_header Host $host;
<pre class='brush:php;toolbar:false;'>add_header 'Access-Control-Allow-Origin' $cors_allowed always;
add_header 'Access-Control-Allow-Credentials' 'true' always;
add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS' always;
add_header 'Access-Control-Allow-Headers' 'Content-Type, Authorization, X-Partner-ID' always;
add_header 'Access-Control-Expose-Headers' 'X-Rate-Limit-Remaining, X-Request-ID' always;}
这样，只有明确列在 map 表里的 origin 才能获得合法响应头，其余请求虽能到达后端，但浏览器会因 CORS 失败而拦截，前端拿不到数据——既不暴露逻辑，也不泄露敏感响应头。
强制校验合作伙伴身份标识（X-Partner-ID）
仅靠 Origin 不够可靠（可伪造），需叠加业务级凭证。让合作伙伴在请求头中携带签名过的 X-Partner-ID，Nginx 可做基础校验（如格式、长度、是否为空），再交由后端做 HMAC 验签：
- 在 location 块中添加校验逻辑：
if ($http_x_partner_id = "") {
return 400 "Missing X-Partner-ID header";
}
if ($http_x_partner_id ~* "[^a-zA-Z0-9_-]") {
return 400 "Invalid X-Partner-ID format";
}这一步不替代后端鉴权，而是提前拦截明显异常请求，减轻后端压力，也防止恶意扫描或误调用触发完整链路处理。
区分简单请求与预检请求，避免 OPTIONS 泄露信息
合作伙伴调用若含自定义头（如 X-Partner-ID）或非简单方法（POST+JSON），浏览器必发 OPTIONS 预检。Nginx 必须独立响应，且不返回任何业务相关头：
- 在同个 location 内补充 OPTIONS 处理：
if ($request_method = 'OPTIONS') {
add_header 'Access-Control-Allow-Origin' $cors_allowed;
add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS';
add_header 'Access-Control-Allow-Headers' 'Content-Type, Authorization, X-Partner-ID';
add_header 'Access-Control-Allow-Credentials' 'true';
add_header 'Access-Control-Max-Age' 86400;
add_header 'Content-Length' 0;
add_header 'Content-Type' 'text/plain charset=UTF-8';
return 204;
}注意：这里不 proxy_pass，也不透传后端响应；所有跨域头均由 Nginx 直接生成，确保预检阶段不暴露后端路径、版本、错误信息等敏感内容。
限制速率与来源 IP 辅助防护
Open API 易成攻击入口，建议在跨域配置基础上叠加基础防护：
- 按 partner 域名或
X-Partner-ID做限流（使用 limit_req）： - 对高频异常 Origin 或空 Referer 的请求临时封禁（可用 geo + map + deny）；
- 日志中记录
$http_origin和$http_x_partner_id，便于审计与溯源。
这些不是跨域本身的要求，但属于“安全前提”不可或缺的一环——开放不等于裸奔，Nginx 是第一道门，要守得住、看得清、留得痕。
