核心问题是Nginx缓存层与后端CORS响应头冲突导致重复Access-Control-Allow-Origin，浏览器拒绝解析；需用proxy_hide_header清除后端头，再用add_header ... always统一注入单值可控头，并配置proxy_cache_key含$http_origin避免错缓存。
核心问题是：缓存层（如 Nginx 作为反向代理 + 缓存）收到后端响应后，若后端已自带完整的 CORS 头（如 Access-Control-Allow-Origin），而 Nginx 又未清除这些头、还自行用 add_header 添加同名头，就会造成响应中出现多个相同响应头。浏览器遇到重复的 Access-Control-Allow-Origin 会直接拒绝，报错类似 “has multiple values” 或预检失败。
确认冲突来源
先用 curl -I -X OPTIONS https://your-api.com/xxx 查看真实响应头。重点关注：
- 是否同时存在多个
Access-Control-Allow-Origin行 - 是否有
Access-Control-Allow-Credentials重复 - 响应中是否混有后端输出的头和 Nginx 自加的头
用 proxy_hide_header 清除后端原始 CORS 头
在对应 location 块中显式隐藏后端返回的所有可能冲突的 CORS 相关头：
proxy_hide_header Access-Control-Allow-Origin;proxy_hide_header Access-Control-Allow-Credentials;proxy_hide_header Access-Control-Allow-Methods;proxy_hide_header Access-Control-Allow-Headers;proxy_hide_header Access-Control-Expose-Headers;-
proxy_hide_header Vary;（可选，避免缓存策略干扰 CORS 判定）
注意：proxy_hide_header 必须写在 proxy_pass 指令之后才生效；它只影响从后端收到的响应头，不影响 Nginx 自己添加的头。
统一由 Nginx 输出单值、可控的 CORS 头
清除后端头后，再用 add_header ... always 安全注入：
- 使用
always参数确保对所有响应（包括 204、302、错误页）都生效 - 对带凭据的请求，
Access-Control-Allow-Origin不能为*，需配合map白名单动态赋值 - 例如：
add_header Access-Control-Allow-Origin $cors_origin always;，其中$cors_origin来自 map 块校验 -
add_header Access-Control-Allow-Credentials "true" always;需与 Origin 值严格匹配
特别注意缓存与 CORS 的协同
如果启用了 proxy_cache，需确保缓存键（proxy_cache_key）包含 $http_origin，否则不同源的请求可能命中同一缓存条目，导致 CORS 头错配：
- 添加：
proxy_cache_key "$scheme$request_method$host$request_uri$http_origin"; - 避免缓存 OPTIONS 预检请求（通常不缓存）：
proxy_no_cache $request_method = OPTIONS; - 必要时对预检响应设短缓存或不缓存：
add_header Cache-Control "no-store, no-cache";
