加了add_header仍被拦截，因Nginx默认仅对200状态码添加CORS头，而OPTIONS预检请求返回204/405导致头未发出；需在location中显式处理OPTIONS并确保add_header不在if块内。
为什么加了 add_header 还是被浏览器拦截？
因为 Nginx 默认只对 200 状态码返回 CORS 头，而预检请求（OPTIONS）返回的是 204 或 405，头根本没发出去。浏览器一看没 Access-Control-Allow-Origin，直接拒绝后续请求。
实操建议：
- 必须在
location块里显式处理OPTIONS请求，不能只靠add_header - 用
if ($request_method = 'OPTIONS') { ... }拦截并返回空响应 + CORS 头 - 确保
add_header在server或location级别，且不在if块内（Nginx 中add_header在if里不生效）
宝塔面板里改哪几个配置文件？
不是改全局 /www/server/nginx/conf/nginx.conf，而是改对应站点的配置文件，路径通常是：/www/server/panel/vhost/nginx/你的域名.conf。改错位置会导致重启 Nginx 后配置丢失或不生效。
实操建议：
- 在宝塔「网站」→ 选中站点 → 「设置」→ 「配置文件」里编辑，最安全
- 不要手动改
nginx.conf主配置，除非你清楚include规则 - 修改后点「保存」，再点「重载配置」（不是重启 Nginx），避免服务中断
Access-Control-Allow-Origin 能不能写成 *？
可以，但仅限于不需要携带 Cookie 或认证信息的场景。一旦前端设置了 credentials: true，Nginx 就不能用通配符，必须写明确的源（如 https://a.com），否则浏览器会无视响应。
实操建议：
- 开发阶段可先用
*快速验证流程 - 生产环境若需传 Cookie，得配合
add_header Access-Control-Allow-Credentials "true"，且Access-Control-Allow-Origin必须是具体域名 - 多个域名要支持？Nginx 本身不支持动态匹配，得用
map指令提前定义白名单，否则容易漏配或误配
为什么本地测试 OK，上线就跨域失败？
常见原因是 CDN、反向代理或负载均衡层（比如腾讯云 CLB、阿里云 SLB）吞掉了 Nginx 返回的 CORS 头。它们往往默认不透传自定义响应头，或者缓存了无 CORS 头的老响应。
实操建议：
- 用
curl -I https://你的域名/api/xxx直接看响应头，确认Access-Control-Allow-Origin是否真实存在 - 如果不存在，检查 CDN 控制台是否开启了「透传响应头」或「忽略缓存头部」选项
- 宝塔本身不干预响应头，但如果你开了「网站监控」或「防火墙插件」，也得确认它们没过滤或重写响应
实际配的时候，最常被绕过的不是语法，而是「预检请求没响应头」和「CDN 拦截头」这两关。多 curl 几次响应头，比反复改 Nginx 配置更快定位问题。
