跨域预检options返回403，主因是服务器未正确处理该方法：nginx需显式拦截并返回204及完整cors头；spring boot须全局启用options支持；django中间件顺序必须correct；后端须注册options路由并返回200/204；nginx配置应结合$http_origin条件注入响应头。
如果您在前端发起跨域请求时，浏览器控制台显示预检请求（OPTIONS）返回403错误，则问题并非出在CORS响应头缺失，而是服务器未正确处理OPTIONS方法本身。以下是定位和修复该问题的步骤：
一、Nginx未显式处理OPTIONS请求
Nginx默认将OPTIONS请求透传给后端服务，不会执行location块中的add_header指令；若后端未注册OPTIONS路由或拒绝该方法，就会直接返回403。必须在Nginx中拦截并短路响应预检请求。
1、在对应location块内添加if判断，匹配OPTIONS方法并立即返回204响应。
2、使用add_header指令为该响应注入完整的CORS头，包括Access-Control-Allow-Origin、Access-Control-Allow-Methods等。
3、确保add_header指令位于if块内部，且不依赖于proxy_pass转发逻辑。
4、确认server块或http块中未启用limit_except或deny all等限制OPTIONS的指令。
二、Spring Boot未启用全局OPTIONS支持
Spring Boot 2.4+版本默认禁用对OPTIONS路径的自动放行，@CrossOrigin注解仅作用于标注的接口，无法覆盖未定义的OPTIONS端点；当请求路径含前缀或被拦截器拦截时，预检请求可能根本未进入CORS过滤链。
1、在配置类中注册CorsConfigurationSource Bean，显式声明所有路径允许OPTIONS方法。
2、调用config.setAllowedMethods(Arrays.asList("GET", "POST", "PUT", "DELETE", "OPTIONS"))，确保包含"OPTIONS"字面量。
3、避免仅依赖@Controller类上的@CrossOrigin，改用全局CorsFilter或WebMvcConfigurer.addCorsMappings方式注册。
4、检查拦截器（如登录校验、权限过滤器）是否在preHandle中提前return false，导致OPTIONS请求被拦截。
三、Django corsheaders中间件顺序错误
Django的corsheaders中间件必须位于CommonMiddleware之前，否则OPTIONS请求会被后者拦截并返回空响应（无CORS头），造成预检失败；即使已安装corsheaders，顺序错误也会使全部CORS配置失效。
1、打开settings.py中的MIDDLEWARE列表。
2、确认'corsheaders.middleware.CorsMiddleware'严格排在'django.middleware.common.CommonMiddleware'之前。
3、检查是否启用了'django.middleware.csrf.CsrfViewMiddleware'，它可能对OPTIONS请求强制校验CSRF token，需配合csrf_exempt装饰器或在中间件中排除OPTIONS。
4、验证CORS_ALLOW_HEADERS是否包含前端实际发送的自定义头字段，例如Authorization或X-Request-ID。
四、后端框架未注册OPTIONS路由或返回非2xx状态
无论使用Express、Koa、ASP.NET Core还是自研HTTP服务，都必须确保对任意跨域路径的OPTIONS请求返回200或204状态码；仅返回403/404/502即表示服务层拒绝该方法，浏览器会直接终止后续请求流程。
1、在应用启动时，为根路径或API前缀路径显式注册一个OPTIONS处理器。
2、该处理器不执行业务逻辑，仅设置响应头并返回204 No Content。
3、确认Web服务器（如IIS、Apache）未对OPTIONS方法做全局限制，例如Apache的
4、使用curl -X OPTIONS -H "Origin: https://example.com" -I http://your-api.com/api/test 验证原始响应状态与头信息。
五、Nginx中Origin头未参与CORS头注入判断
当Nginx配置add_header但未结合if ($http_origin) {}条件时，会导致无Origin头的请求（如curl测试或部分代理）也携带CORS头，触发浏览器安全策略拒绝；更严重的是，某些Nginx版本在OPTIONS请求中$http_origin为空，导致add_header完全不生效。
1、在server或location块中使用if ($http_origin) { }包裹所有CORS相关add_header指令。
2、在if块内显式添加add_header Access-Control-Allow-Origin $http_origin;，避免使用通配符*（尤其当credentials为true时）。
3、为OPTIONS请求单独配置一个内部location ~ ^/api/.*$ { ... }，并在其中return 204;配合add_header。
4、确认nginx.conf中未启用underscores_in_headers on，该设置可能导致Origin头被忽略。
