Nginx 负载均衡中怎么配置解决跨域 CROS 响应头在转发后丢失的开发问题-Nginx-PHP中文网

跨域响应头丢失本质是配置未覆盖转发链路各环节，须由最外层nginx统一管控cors头、禁用后端自动注入、逐层透传origin、用map动态白名单校验源，并拦截重写302跳转以保cors有效。

nginx 负载均衡中怎么配置解决跨域 cros 响应头在转发后丢失的开发问题

跨域响应头在 Nginx 负载均衡后丢失，本质不是“头被删了”，而是配置没覆盖到转发链路的每个环节——尤其当请求经过多级代理、或后端服务也输出 CORS 头时，容易冲突、覆盖或未透传。解决关键在于：统一由最外层 Nginx 控制 CORS 响应头，禁用下游干扰，并确保 Origin 等关键请求头完整抵达。

只在最外层 Nginx 统一加 CORS 头，关掉所有后端的自动 CORS

后端框架（如 Spring Boot 的 @CrossOrigin、Express 的 cors()）若自行注入 Access-Control-Allow-Origin，和 Nginx 的 add_header 叠加会导致响应头重复，Nginx 报错或浏览器拒绝。必须做到：

关闭所有后端服务的 CORS 自动配置，让它们只专注业务逻辑
在最外层 Nginx 的 server 或 location 块中集中设置 CORS 响应头
使用 add_header ... always，确保 302、401 等非 200 响应也能带 CORS 头

动态校验 Origin，避免通配符 * 与 credentials 冲突

如果前端需要携带 Cookie（credentials: 'include'），就不能用 Access-Control-Allow-Origin: *，否则浏览器直接报错。推荐用 map 白名单方式安全放行：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

在 http 块顶部定义可信源映射：

map $http_origin $cors_origin {
  default "";
  "https://your-fe.com" "$http_origin";
  "https://staging-fe.com" "$http_origin";
}

在 location 中引用：

add_header 'Access-Control-Allow-Origin' $cors_origin always;
add_header 'Access-Control-Allow-Credentials' 'true' always;

确保 Origin 请求头逐层透传不中断

负载均衡常有多级 Nginx（如 CDN → 边缘 Nginx → 应用 Nginx），而默认情况下 $http_origin 不会自动向下传递。每层都必须显式透传：

在每一级的 location 块中加：proxy_set_header Origin $http_origin;
确认 proxy_pass_request_headers on;（虽默认开启，显式写出更可靠）
若用了自定义头如 gray_origin，需先开 underscores_in_headers on;，再加 proxy_set_header gray_origin $http_gray_origin;