负载均衡后CORS失效的核心是跨域控制权分散、Origin透传中断、响应头覆盖或预检流程破坏；须在最外层Nginx集中配置add_header ... always，禁用后端自动CORS，显式透传Origin头，拦截重写302跳转并补全CORS头，确保OPTIONS预检正确响应。
负载均衡接入后 CORS 失效，核心问题不是“头丢了”，而是跨域控制权被分散、Origin 传递中断、响应头被覆盖或预检流程被破坏。必须从链路视角逐层确认控制点是否统一、透传是否完整、拦截是否发生。
检查最外层 Nginx 是否统一管控 CORS 响应头
多级代理（如 CDN → 边缘 Nginx → 应用 Nginx）中，若每层都试图加 CORS 头，极易冲突或被覆盖。正确做法是：只在最靠近客户端的那层（通常是边缘 Nginx 或入口网关）集中设置，其余层级禁用所有 CORS 相关输出。
- 关闭所有后端服务的自动 CORS 配置（如 Spring Boot 的
@CrossOrigin、Express 的cors()中间件），避免与 Nginx 的add_header冲突导致报错或浏览器拒绝 - 在最外层 server 或 location 块中使用
add_header ... always，确保 302、401 等非 200 响应也携带 CORS 头 - 禁用通配符
*与credentials: true共存：若前端带 Cookie，必须用map动态匹配白名单 Origin，例如：
default "";
"https://app.example.com" "$http_origin";
"https://staging.example.com" "$http_origin";
}
add_header 'Access-Control-Allow-Origin' $cors_origin always;
add_header 'Access-Control-Allow-Credentials' 'true' always;
验证 Origin 请求头是否逐层透传到位
默认情况下，Nginx 不会自动将 Origin 头转发给下游。只要中间存在一级未显式透传，后端或下一级 Nginx 就收不到原始源信息，CORS 白名单校验即失效。
- 在每一级 Nginx 的对应 location 块中添加：
proxy_set_header Origin $http_origin; - 显式开启请求头透传：
proxy_pass_request_headers on;（虽默认开启，但显式声明更可靠） - 若使用自定义灰度头（如
gray-origin），需先启用underscores_in_headers on;，再配置proxy_set_header gray_origin $http_gray_origin;
拦截并重写后端返回的 302 跳转响应
后端返回 302 时，浏览器会以新 URL 发起全新跨域请求，此时 Origin 丢失、预检不触发、CORS 头不继承——这是负载均衡场景下最隐蔽的失效点。
- 启用错误拦截：
proxy_intercept_errors on; - 为 302 响应单独配置处理：用
error_page 302 = @handle_redirect;，并在@handle_redirect中重写 Location 头，同时补全 CORS 响应头 - 避免依赖后端补头：后端无法控制跳转后的新请求上下文，必须由 Nginx 在跳转前完成头注入与地址改写
确认预检请求（OPTIONS）是否被正确响应
复杂请求（含自定义头、PUT/DELETE 方法、credentials）必走 OPTIONS 预检。若负载均衡层未放行 OPTIONS，或未返回完整响应头，后续请求根本不会发出。
- 手动测试预检：
curl -X OPTIONS -H "Origin: https://app.example.com" -H "Access-Control-Request-Method: POST" -H "Access-Control-Request-Headers: x-request-id,Authorization" http://your-api.com/path - 响应中必须包含：
Access-Control-Allow-Origin、Access-Control-Allow-Methods（含实际方法）、Access-Control-Allow-Headers（含所有自定义头，一个都不能少） - 确保 location 块匹配 OPTIONS 请求：可显式加
location = / { if ($request_method = 'OPTIONS') { add_header ...; return 204; } }避免被其他规则拦截
