Nginx 应拦截并直接响应跨域 OPTIONS 预检请求，返回 204 状态码及完整 CORS 头（含 always 参数），禁止转发至 Node.js；需拆分为独立 location 处理 OPTIONS 和代理请求，并用 map 动态校验 Origin 白名单。
Node.js 部署在 Nginx 后端时，跨域预检请求（OPTIONS）不该转发给 Node.js 处理，而应在 Nginx 层直接响应 204，并携带完整、合规的 CORS 头。转发 OPTIONS 到 Node.js 不仅增加延迟和后端负载，还容易因各实例响应不一致导致跨域失败。
必须由 Nginx 拦截并终结 OPTIONS 请求
浏览器发起复杂跨域请求（如带 Authorization 头、Content-Type: application/json 或使用 PUT/DELETE 方法）前，会先发 OPTIONS 预检。Nginx 应在匹配到对应路径（如 /api/）时立即处理，不走 proxy_pass：
- 用 if ($request_method = 'OPTIONS') 判断（仅限 location 块内，且 Nginx ≥ 1.7.0）
- 配合 return 204 快速终止，无响应体、低开销
- 所有 add_header 必须加 always 参数，确保 204 响应也能携带 CORS 头
关键 CORS 头要写全且带 always
缺一不可，否则浏览器判定预检失败。常见遗漏项包括 Access-Control-Allow-Credentials 和 Content-Length: 0：
- add_header 'Access-Control-Allow-Origin' 'https://your-frontend.com' always;（生产环境禁用 *，尤其开启 credentials 时）
- add_header 'Access-Control-Allow-Methods' 'GET, POST, PUT, DELETE, OPTIONS' always;
- add_header 'Access-Control-Allow-Headers' 'Authorization, Content-Type, X-Requested-With' always;
- add_header 'Access-Control-Allow-Credentials' 'true' always;
- add_header 'Access-Control-Max-Age' '1728000' always;
- add_header 'Content-Length' '0' always;（显式声明，避免某些客户端解析异常）
禁止 if + proxy_pass 混用在同一 location
这种写法会导致 Nginx 上下文混乱，proxy_set_header 失效、Host 或 X-Real-IP 丢失，极易引发 502。正确做法是拆分为两个独立 location：
- 前置一个专用于 OPTIONS 的 location（建议用正则匹配路径，如 location ~ ^/api/.*$），内部只做预检响应
- 后置一个常规 location /api/，专注 proxy_pass 和业务头设置
- 确保 OPTIONS location 在配置文件中位置靠前，优先匹配
生产环境必须动态校验 Origin
通配符 * 无法与 Access-Control-Allow-Credentials: true 共存。应使用 map 指令构建白名单：
- 在 http 块定义 map，将合法前端域名映射为变量值
- 在 OPTIONS 块中引用该变量设置 Access-Control-Allow-Origin
- 对非法 Origin 直接 return 204 + 空或默认头，不暴露后端信息
