必须先用 proxy_hide_header 屏蔽后端 cors 头，再用 add_header always 统一注入，否则浏览器因重复头拒绝响应；需确保 origin 与 credentials 兼容且后端彻底关闭 cors 自动配置。
直接在 Nginx 的 location 块中用 proxy_hide_header 屏蔽后端返回的 CORS 头，再由 Nginx 统一注入合规头，就能避免重复或冲突。关键不是“加什么”，而是“先清再加”——顺序和隔离缺一不可。
为什么必须先隐藏后端 CORS 头
当后端（如 Spring Boot、Express 或 Gin）已自行设置 Access-Control-Allow-Origin 等头，而 Nginx 又在同个 location 里用 add_header 再加一遍，浏览器会收到多个同名响应头。这会导致：
- CORS 预检（OPTIONS）失败，报错 “Response to preflight request doesn’t pass access control check”
- 实际请求返回 200，但被浏览器静默拦截
- Chrome 等现代浏览器直接拒绝含重复
Access-Control-Allow-Origin的响应
标准配置：三步闭环
所有操作都在 proxy_pass 所在的 location 块内完成，按顺序执行：
FastAPI Flask Proxy
下载
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
- 用
proxy_hide_header明确屏蔽后端可能返回的冲突头：proxy_hide_header Access-Control-Allow-Origin;<br> proxy_hide_header Access-Control-Allow-Methods;<br> proxy_hide_header Access-Control-Allow-Headers;<br> proxy_hide_header Access-Control-Allow-Credentials;<br> proxy_hide_header Access-Control-Expose-Headers;
- 用
add_header ... always重新注入干净、可控的头（always确保对 204/302 等非 2xx 响应也生效）：add_header 'Access-Control-Allow-Origin' 'https://your-frontend.com' always;<br> add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS, PUT, DELETE' always;<br> add_header 'Access-Control-Allow-Headers' 'Content-Type, Authorization, X-Requested-With' always;<br> add_header 'Access-Control-Allow-Credentials' 'true' always;
- 单独处理 OPTIONS 请求，避免转发给后端：
if ($request_method = 'OPTIONS') {<br> add_header 'Access-Control-Max-Age' 1728000;<br> add_header 'Content-Type' 'text/plain; charset=utf-8';<br> add_header 'Content-Length' 0;<br> return 204;<br> }
两个必须检查的安全细节
这两点不满足，即使配置语法正确，浏览器仍会拒绝请求：
-
Origin 和 Credentials 不能共存于通配符：若
Access-Control-Allow-Origin设为*，则Access-Control-Allow-Credentials必须为false；如需传 Cookie 或 Authorization，Origin 必须写具体协议+域名（如https://app.example.com） -
确保后端彻底关闭 CORS 自动注入：禁用 Express 的
cors()、Spring 的@CrossOrigin或全局过滤器；用curl -I -X OPTIONS https://your-api.com/xxx验证响应头中不再出现任何Access-Control-开头的头
如何验证是否生效
执行命令检查响应头输出：
curl -I -H "Origin: https://your-frontend.com" -X OPTIONS https://your-api.com/api/test
正确结果应满足：
- 响应中只出现一次
Access-Control-Allow-Origin，且值与你在 Nginx 中配置的完全一致 - 没有
Access-Control-Allow-Origin: *和Access-Control-Allow-Origin: https://...同时存在 - 无换行、无多余空格、无拼接痕迹（尤其注意引号和空格）
-
Access-Control-Allow-Credentials值为true时，Access-Control-Allow-Origin不是通配符
