必须将cors头仅配置在https server块中，禁止在http重定向块中添加；origin须与最终https地址完全一致（含协议、域名、端口）；通过map动态白名单校验来源，并显式处理options预检返回204。
在 Nginx 层面配置跨域 Header 时，若同时启用 HTTPS 重定向（如 HTTP → HTTPS 跳转），必须确保跨域响应头只出现在最终的 HTTPS 响应中，且 Origin 校验与协议、域名、端口严格一致。否则浏览器会因协议不匹配或预检失败而拦截请求——这不是配置遗漏，而是安全机制的必然反应。
HTTPS 重定向期间 CORS 头不能提前注入
HTTP 请求（如 http://app.example.com）被 301/302 重定向到 https://app.example.com 后，浏览器会重新发起 HTTPS 请求。此时：
- CORS 相关 Header（如
Access-Control-Allow-Origin）不能写在 HTTP server 块中，否则会被重定向响应携带，而重定向响应本身不允许带 CORS 头，浏览器将忽略或报错； - 所有跨域控制逻辑必须集中在 HTTPS server 块内，且仅对真实业务请求生效；
- 避免在
return 301 https://$host$request_uri;所在的 HTTP server 中添加任何add_headerCORS 指令。
Origin 必须与最终 HTTPS 地址完全一致
前端实际访问的是 https://app.example.com:8600，那么后端返回的 Access-Control-Allow-Origin 就必须是这个完整字符串（含 https:// 和端口），不能省略协议、不能写成 http://、也不能用 * 配合 credentials: true。
- 错误示例：
add_header Access-Control-Allow-Origin "http://app.example.com";→ 协议不匹配，直接被拦截； - 危险示例：
add_header Access-Control-Allow-Origin "*"; add_header Access-Control-Allow-Credentials "true";→ 浏览器拒绝响应； - 正确做法：用
map动态提取并校验$http_origin，只放行合法 HTTPS 来源。
用 map + HTTPS server 实现安全白名单
在 http{} 块顶部定义可信来源映射：
map $http_origin $cors_origin {
default "";
"~^https://app\.example\.com(:8600)?$" $http_origin;
"~^https://admin\.example\.com$" $http_origin;
}
然后在 HTTPS server 的 location 中启用：
add_header Access-Control-Allow-Origin $cors_origin always;add_header Access-Control-Allow-Credentials "true" always;add_header Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS" always;add_header Access-Control-Allow-Headers "Content-Type, Authorization, X-Requested-With" always;
注意：always 参数确保即使返回 304 或错误码，CORS 头仍存在，避免预检失败。
显式处理 OPTIONS 预检并返回 204
HTTPS 下预检请求更易失败。不能依赖 if ($request_method = 'OPTIONS') 简单返回，需明确拦截并终止响应：
- 在 location 内添加：
if ($request_method = 'OPTIONS') { add_header Access-Control-Allow-Origin $cors_origin; add_header Access-Control-Allow-Credentials "true"; add_header Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS"; add_header Access-Control-Allow-Headers "Content-Type, Authorization, X-Requested-With"; return 204; } - 或更稳妥地用
try_files /dev/null =204;配合内部 location 处理； - 确保预检响应不含 body，状态码为 204（不是 200），否则部分客户端可能解析异常。
不复杂但容易忽略：HTTPS 重定向和跨域必须分层解耦——重定向管跳转，CORS 管通信，二者不能混在同一上下文里配置。
