nginx 中基于路径的跨域控制需将 cors 头精确配置在对应 location 块内，实现 /api/ 允许、/static/ 禁止、/admin/ 限定域名等精细化策略，并须显式处理 options 预检请求。
在 Nginx 中实现基于请求路径的跨域访问控制，核心是把 CORS 头部配置精确绑定到特定 location 块，而不是全局设置。这样可以做到：/api/ 允许跨域、/static/ 不允许、/admin/ 仅限内部域名——按路径精细化管控。
只对特定路径启用跨域（如 /api/）
这是最常见也最推荐的做法。将 CORS 配置写在对应 location 块内，确保只影响目标接口路径：
- 在
location /api/ { ... }中添加add_header指令，CORS 头仅对该路径生效； - 其他路径（如
/、/assets/）不会自动继承这些头，保持默认安全策略； - 配合
proxy_pass使用时，CORS 头由 Nginx 注入，后端无需再设，避免冲突。
区分路径设置不同跨域策略
同一 server 下多个 location 可配置互不干扰的跨域规则：
-
location /public-api/：用add_header 'Access-Control-Allow-Origin' '*'，开放给所有前端调试； -
location /user-data/：用add_header 'Access-Control-Allow-Origin' 'https://app.example.com'，且必须带凭证：add_header 'Access-Control-Allow-Credentials' 'true'； -
location /internal/：不加任何 CORS 头，浏览器自然拦截，等同于“禁止跨域”。
支持多域名且按路径动态匹配
当需要允许多个可信域名（如开发、测试、生产环境前端），又不想硬编码多个 location，可用 map + 变量方式：
- 在 http 块顶部定义映射关系：
map $http_origin $cors_origin {<br> default "";<br> "~^https?://(localhost|dev\.example\.com)(:[0-9]+)?$" "$http_origin";<br> "~^https://prod\.example\.com$" "$http_origin";<br>} - 在对应 location 中写：
add_header 'Access-Control-Allow-Origin' $cors_origin always;； - 这样 /api/ 路径只对匹配的 origin 返回有效头，其余请求不返回
Access-Control-Allow-Origin，浏览器判定为不允许跨域。
必须处理 OPTIONS 预检请求
只要路径涉及非简单请求（如 POST 含 JSON、带 Authorization 头），浏览器必发 OPTIONS 请求。Nginx 必须显式响应，否则跨域失败：
- 在目标 location 内加
if ($request_method = 'OPTIONS') { return 204; }； - 同时为该 if 块补充必要头：
add_header 'Access-Control-Allow-Methods' ...和add_header 'Access-Control-Allow-Headers' ...； - 注意：return 204 前必须已设置好所有 CORS 头，否则浏览器收不到完整预检响应。
