最稳妥方式是通过宝塔「站点→设置→配置文件」修改，add_header必须置于server或location块内并加always参数；改完需点「保存」+「重载配置」，且须确认对应域名站点、排除CDN/代理拦截，OPTIONS预检请求需单独return 204处理。
直接改宝塔站点配置文件最稳妥，别碰主配置或手动编辑 conf 文件；加 add_header 必须放在 server 或 location 块里，否则完全不生效。
为什么改了配置没反应？常见失效原因
宝塔改完只点「保存」不行，必须再点「重载配置」——它不会自动 reload。更隐蔽的问题是：你改的可能不是当前域名绑定的站点配置，宝塔为每个域名生成独立 conf，进错站点就白改。另外，如果用了 CDN（比如 Cloudflare、腾讯云 CDN），它们默认不透传 Access-Control-Allow-Origin 这类自定义响应头，浏览器看到的其实是 CDN 返回的响应，压根没经过你的 Nginx。
- 用
curl -I https://your-domain.com/api/test直连服务器验证原始响应头，绕过 CDN 和浏览器缓存 - 检查 Nginx 错误日志：
/www/wwwlogs/nginx_error.log，常见报错如directive is not allowed here表示add_header写到了块外 - 如果开了宝塔防火墙插件或网站监控，确认它们没过滤或重写响应头
如何正确添加 Access-Control-Allow-Origin 等头？位置和语法关键点
add_header 不能挂在配置文件最外层，也不能写在 if 外面（除非在 location 里）。推荐两种写法：
- 全局宽松跨域（仅开发/测试）：
在server块内（location / { }上方或内部）加：add_header 'Access-Control-Allow-Origin' '*' always;add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS, PUT, DELETE' always;add_header 'Access-Control-Allow-Headers' 'DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Range,Authorization' always; - 精准控制 API 路径（生产推荐）：
新增一个location ^~ /api/块，把上面几行add_header全部挪进去，避免静态资源也被加上 CORS 头
注意：always 参数很重要，否则 Nginx 默认不给 301/302/4xx 响应加 header，预检失败时你看不到头信息。
将 WCAG 2 AA 无障碍标准应用于设计系统、UI 组件和网页——通过可运行的验证器进行对比度计算，采用设计 token 模式使颜色天生可访问，设定排版和焦点状态规则，并提供语义检查清单。适用于构建或审查 UI。
OPTIONS 预检请求必须单独处理，否则前端卡死
只要请求带 Authorization、Content-Type: application/json 或用 PUT/DELETE 方法，浏览器就会先发 OPTIONS 请求。如果 Nginx 没返回 204 + 正确 CORS 头，后续真实请求根本不会发出。
- 必须在对应
location块里加if ($request_method = 'OPTIONS')判断 - 里面至少要包含：
add_header Access-Control-Allow-Origin "https://your-frontend.com";add_header Access-Control-Allow-Methods "POST, GET, OPTIONS";add_header Access-Control-Allow-Headers "Content-Type, Authorization";add_header Access-Control-Max-Age 1728000;add_header Content-Length 0;return 204; - 不要把
if写在server块顶层——Nginx 不认，会报错或静默忽略
Credentials 为 true 时，Origin 不能写 *，且必须严格匹配协议+端口
前端若设了 credentials: 'include'（比如带 Cookie 登录态），后端 Access-Control-Allow-Origin 就不能是 *，否则浏览器直接丢弃响应。这是硬性限制，不是配置问题。
- 本地开发常用
http://localhost:8080，就得原样写进配置，少个http://或端口号都不行 - HTTPS 站点不能回
http://localhost:8080，协议必须一致；反之亦然 - 多个前端域名要支持？Nginx 原生不支持动态 Origin，得用
map指令做白名单映射，否则容易漏配或引入 XSS 风险
真正容易被忽略的是：CDN 层和反向代理层（比如你用宝塔配了 proxy_pass 到 Node.js 服务）都可能吞掉或覆盖这些头。哪怕 Nginx 配对了，上层设备没透传，前端照样收不到。每次上线前，务必用 curl -I -H "Origin: https://xxx" https://your-api.com/xxx 直连验证原始响应。
