如何利用Nginx实现API接口的跨域缓存Expires与CORS协同-Nginx-PHP中文网

Nginx可同时支持CORS与缓存，需手动配置Access-Control-Allow-Origin等CORS头，并用Cache-Control控制缓存；关键是要在proxy_cache_key中包含$http_origin、add_header Vary "Origin"，避免跨域策略污染。

如何利用nginx实现api接口的跨域缓存expires与cors协同

要让Nginx同时支持API接口的跨域（CORS）与缓存控制（如Expires），关键不是“协同”两个功能，而是按HTTP规范合理设置响应头：CORS头决定浏览器是否允许前端访问响应，缓存头（如Expires、Cache-Control）决定该响应能否被复用。二者互不冲突，可共存，但需注意顺序和语义一致性。

正确配置CORS响应头

Nginx本身不内置CORS逻辑，需手动添加响应头。对API接口，至少需提供以下基础头：

Access-Control-Allow-Origin：指定允许跨域的源。生产环境避免设为*（尤其当请求含凭据时）；可动态匹配白名单，例如使用map模块映射可信域名
Access-Control-Allow-Methods：明确列出允许的HTTP方法，如GET, POST, OPTIONS
Access-Control-Allow-Headers：声明允许客户端发送的自定义请求头，如Authorization, X-Request-ID
Access-Control-Allow-Credentials：若前端设置了credentials: 'include'，此项必须为true，且Access-Control-Allow-Origin不能为*
对预检请求（OPTIONS），应返回204并仅含CORS头，不触发后端业务逻辑

合理设置缓存头（Expires + Cache-Control）

API接口缓存需谨慎：非幂等、带用户上下文或实时性要求高的接口不宜缓存。适合缓存的场景如公开的静态配置、字典数据、只读列表等。Nginx中推荐优先使用Cache-Control，它比Expires更灵活、更符合现代实践：

用add_header Cache-Control "public, max-age=3600";表示该响应可被浏览器和中间代理缓存1小时
若仍需兼容老系统，再补充add_header Expires ...，值为GMT格式时间戳（可用$upstream_http_expires变量或set配合lua/ngx_time）
避免对POST/PUT/DELETE等非安全方法设置缓存头；对GET请求，确保后端响应本身是可缓存的（如无Set-Cookie、Vary:*等冲突头）
注意：Nginx默认不缓存带有Set-Cookie的响应，也不缓存Vary头值为*的响应——这些会自动绕过proxy_cache

让CORS与缓存头在Nginx中安全共存

核心原则是：所有影响缓存决策的响应头（包括CORS头）都应纳入缓存键（cache key）考量，否则可能造成跨域策略污染或缓存混淆。例如：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

若不同Origin请求同一URL，但Nginx缓存未将Origin或Access-Control-Allow-Origin纳入key，则可能把A站的CORS响应错返回给B站，导致安全问题
解决方案：在proxy_cache_key中显式包含$http_origin，并在add_header Access-Control-Allow-Origin $http_origin;实现动态回写（前提是Origin在白名单内）
同时，在proxy_hide_header中不要隐藏Access-Control-Allow-Origin等关键CORS头，否则缓存响应将缺失它们
建议启用add_header Vary "Origin";，显式告知下游（浏览器/CDN）该响应根据Origin变化，增强缓存隔离性

一个典型Nginx配置片段

以下适用于只读JSON API，启用缓存并支持可信来源跨域：

map $http_origin $cors_origin {
    default "";
    "~^https?://(localhost|myapp\.com|api\.trusted\.site)$" $http_origin;
}
<p>server {
location /api/v1/config {
proxy_pass <a href="https://www.php.cn/link/65b5b8d1f89bf53a5713bc3afdd83e9e">https://www.php.cn/link/65b5b8d1f89bf53a5713bc3afdd83e9e</a>;
proxy_cache my_cache;
proxy_cache_valid 200 3600s;</p><pre class="brush:php;toolbar:false;">    # 缓存键包含Origin，避免CORS头混用
    proxy_cache_key "$scheme$request_method$host$request_uri$http_origin";

    # 动态设置CORS头
    add_header Access-Control-Allow-Origin $cors_origin;
    add_header Access-Control-Allow-Methods "GET, OPTIONS";
    add_header Access-Control-Allow-Headers "Authorization, X-Requested-With";
    add_header Access-Control-Allow-Credentials "true";
    add_header Vary "Origin";

    # 缓存控制（优先Cache-Control）
    add_header Cache-Control "public, max-age=3600";
    # 可选：补Expires（需计算GMT时间，此处略）

    # 处理预检
    if ($request_method = 'OPTIONS') {
        add_header Access-Control-Max-Age 1728000;
        add_header Content-Type 'text/plain; charset=UTF-8';
        add_header Content-Length 0;
        return 204;
    }
}

}