Nginx跨域CORS全解决方案：add_header指令配置实战-Nginx-PHP中文网

Nginx跨域配置核心是精准注入合法CORS响应头：必须同时设置Access-Control-Allow-Origin（禁用*）、-Methods、-Headers、-Credentials（与Origin共存）、-Max-Age，并对OPTIONS预检返回204且补全全部CORS头。

nginx跨域cors全解决方案：add_header指令配置实战

直接在 Nginx 中用 add_header 配置 CORS，核心是让浏览器收到的响应里包含合法、完整且时机正确的跨域头。它不修改请求，只补全响应头；不能靠后端配合，也不依赖前端改代码——Nginx 在代理层统一拦截并注入即可生效。

必须配全的基础响应头

仅写 Access-Control-Allow-Origin 是不够的，漏掉任意一项都可能被浏览器拒绝：

Access-Control-Allow-Origin：设为具体域名（如 https://your-app.com）更安全；若需带 Cookie，严禁用 *
Access-Control-Allow-Methods：列出真实会用到的方法，如 GET, POST, PUT, DELETE, OPTIONS
Access-Control-Allow-Headers：前端发了哪些自定义头（如 X-User-ID、Authorization），就必须列全，大小写要一致
Access-Control-Allow-Credentials：设为 true 才能传 Cookie，此时 Origin 必须是明确域名，不能是通配符
Access-Control-Max-Age：建议设为 1728000（20 天），减少重复预检请求

OPTIONS 预检请求必须显式返回 204

浏览器在发复杂请求前会先发一个 OPTIONS 请求。Nginx 默认不处理它，容易返回 405 或空响应，导致跨域失败：

Nginx Reverse Proxy

配置 Nginx 反向代理，实现域名绑定。用户说“绑定域名”“配置 Nginx”“反向代理”时触发，将域名绑定到指定 IP:端口。

下载

在对应 location 块内加 if ($request_method = 'OPTIONS') { ... return 204; }
里面要重复设置所有 CORS 头（包括 Origin、Methods、Headers 等）
必须加 add_header 'Content-Length' 0; 和 add_header 'Content-Type' 'text/plain; charset=utf-8';
return 204; 是关键，它终止后续流程，避免被 proxy_pass 或其他逻辑干扰

动态匹配白名单 Origin（推荐生产环境用）

硬编码单个域名不灵活，多前端或测试环境难维护。用 map 指令实现源动态校验：

在 http 块顶部定义映射：

map $http_origin $cors_origin {
  default "";
  ~^https?://(www\.)?your-domain\.com(:[0-9]+)?$ $http_origin;
  ~^https?://(localhost|127\.0\.0\.1):[0-9]+$ $http_origin;
}