ip_hash跨域认证失败根因是Nginx未用真实客户端IP哈希，需配置set_real_ip_from与real_ip_header还原真实IP，并确保X-Forwarded-For全链路透传、CORS响应头精确匹配域名且含Access-Control-Allow-Credentials:true。
ip_hash 模式下跨域认证失败，表面看是 CORS 或 Cookie 问题，实际根因常在 IP 识别失准——Nginx 用错了 IP 做哈希，导致用户请求被轮转到不同后端，会话中断、Token 验证失败、Cookie 无法匹配。
确认 ip_hash 是否真正在用真实客户端 IP
默认 $remote_addr 是上一跳代理地址（如 CDN 或 SLB 的内网 IP），不是用户真实 IP。所有请求哈希值相同，全打到同一台后端；但若上游代理未透传 X-Forwarded-For，或 Nginx 未还原，也可能把不同用户映射到不同后端，破坏会话一致性。
检查方法：
- 在 Nginx access_log 中加字段：log_format main '$remote_addr - $http_x_forwarded_for – $request – $status'；观察日志里 $remote_addr 是否为公网 IP
- 确认 upstream 块中已启用 ip_hash；且 server 行无 backup/down 干扰哈希逻辑
- 若日志中 $remote_addr 大量出现 10.x、172.16.x、192.168.x 等内网段，说明未还原真实 IP
确保 X-Forwarded-For 全链路可信并正确还原
仅配置 ip_hash 不够，必须让 $remote_addr 变成真实客户端 IP，否则哈希失效，跨域请求的 Cookie/Authorization 就可能被不同后端拒绝。
需在 server 或 http 块中配置：
- set_real_ip_from 声明所有可信代理段（如阿里云 SLB 段、CDN 回源段、前置 Nginx 内网段）
- real_ip_header X-Forwarded-For；real_ip_recursive on；确保取最左非信任 IP
- 验证还原效果：加 add_header X-Debug-RealIP $remote_addr always；浏览器请求后看响应头是否为真实公网 IP
跨域响应头与认证上下文必须匹配 ip_hash 行为
即使 IP 还原正确，若 CORS 配置不严谨，也会导致预检通过但后续请求因 Cookie 或 Origin 校验失败而中断认证。
关键点：
- Access-Control-Allow-Origin 不能填 *，当带 credentials（如 Cookie、Authorization）时，必须写明确域名，且大小写、协议、端口完全一致
- Access-Control-Allow-Credentials true 必须同时出现在预检（OPTIONS）和主请求响应中
- proxy_set_header X-Real-IP $remote_addr 和 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for 要放在 location 块内，确保后端也能拿到真实 IP 做风控或日志关联
验证会话粘性是否真正生效
用 curl 或 Postman 模拟同一客户端 IP 的多次请求，观察后端 access_log 中来源 IP 和目标 server 是否稳定。
- 发起 5 次请求：curl -H "Origin: https://example.com" -H "Cookie: sessionid=abc" http://api.example.com/login
- 检查 Nginx error_log 或后端日志：是否全部命中同一台 upstream server？若分散，说明 ip_hash 未起作用
- 临时在 upstream 块中加 server ... max_fails=0 fail_timeout=0，排除健康检查干扰
