Nginx 跨域配置中怎么通过 proxy_hide_header 过滤掉后端带上来的冲突跨域响应头-Nginx-PHP中文网

必须在location块中用proxy_hide_header屏蔽后端跨域头，再由nginx用add_header always统一注入合规头，并单独拦截options请求返回204；否则浏览器将报“cannot contain multiple values”错误。

nginx 跨域配置中怎么通过 proxy_hide_header 过滤掉后端带上来的冲突跨域响应头

直接在 location 块里用 proxy_hide_header 屏蔽后端返回的跨域头，再由 Nginx 统一注入干净、合规的头——这是避免浏览器报错“cannot contain multiple values”的唯一可靠方式。

必须屏蔽的后端跨域响应头

后端（如 Spring Boot、Express、FastAPI）若自行开启 CORS，会返回以下头，它们和 Nginx 的 add_header 叠加就会触发跨域拦截：

Access-Control-Allow-Origin
Access-Control-Allow-Methods
Access-Control-Allow-Headers
Access-Control-Allow-Credentials
Access-Control-Expose-Headers
Access-Control-Max-Age

这些指令必须写在 proxy_pass 之后，且仅对当前 location 生效。例如：

location /api/ {
    proxy_pass http://backend;
    proxy_hide_header Access-Control-Allow-Origin;
    proxy_hide_header Access-Control-Allow-Methods;
    proxy_hide_header Access-Control-Allow-Headers;
    proxy_hide_header Access-Control-Allow-Credentials;
    proxy_hide_header Access-Control-Expose-Headers;
    proxy_hide_header Access-Control-Max-Age;
}

屏蔽后必须由 Nginx 主动补上

清掉后端头不是终点，Nginx 必须立刻补上可控、一致的跨域头，否则请求仍会失败。关键点是加 always 参数：

add_header Access-Control-Allow-Origin "$http_origin" always; —— 动态匹配来源，比 * 更安全
add_header Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS" always;
add_header Access-Control-Allow-Headers "DNT,User-Agent,X-Requested-With,Content-Type,Authorization" always;
add_header Access-Control-Allow-Credentials "true" always; —— 注意：不能和 * 同时用

不加 always，401、500、204 等非 200 响应就不会带跨域头，前端拿不到错误详情。

aperture: the L402 aware reverse proxy

安装并运行 Aperture（Lightning Labs 的 L402 闪电反向代理），用于创建 L402 付费墙、配置付费 API 端点、为其他代理托管付费内容或测试 L402 认证流程。

下载

单独处理 OPTIONS 预检请求

浏览器发的预检请求不该穿透到后端，否则容易因后端未处理而返回 404 或 500，导致跨域失败。应在 location 内提前拦截：

if ($request_method = 'OPTIONS') {
    add_header Access-Control-Max-Age 1728000;
    add_header Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS";
    add_header Access-Control-Allow-Headers "DNT,User-Agent,X-Requested-With,Content-Type,Authorization";
    add_header Access-Control-Allow-Credentials "true";
    add_header Content-Length 0;
    return 204;
}

这段必须放在 proxy_pass 之前，确保 OPTIONS 请求不转发。