Nginx CORS 策略中怎么配置允许多个特定域名同时访问后端接口-Nginx-PHP中文网

推荐使用map指令构建动态cors白名单：在http块中用正则匹配$http_origin生成$cors_origin变量，再在location中通过if判断其非空时添加带always标志的cors响应头，确保安全、灵活且可维护。

nginx cors 策略中怎么配置允许多个特定域名同时访问后端接口

直接在 Nginx 中用 add_header Access-Control-Allow-Origin * 虽然简单，但不安全，也不满足“只允许多个特定域名”的要求。真正可靠的做法是借助 map 指令做白名单匹配，再结合条件判断动态注入响应头。

用 map 指令定义可信来源变量

这是最推荐、最清晰的方案。把所有允许的域名写进 map 块，Nginx 会根据请求头中的 Origin 自动匹配并赋值给一个变量（比如 $cors_origin）：

放在 http 块内（全局生效，避免重复定义）：

map $http_origin $cors_origin {
    default "";
    "~^https://app\.example\.com$" $http_origin;
    "~^https://admin\.example\.com$" $http_origin;
    "~^https://staging\.example\.com$" $http_origin;
    "~^http://localhost:3000$" $http_origin;
}

注意：
• 正则以 ~^ 开头表示大小写敏感匹配，$ 表示精确结尾；
• 域名中的点号 . 需要转义为 \.；
• default "" 是兜底值，非白名单来源时变量为空，后续就不会加 CORS 头。

在 location 中有条件地添加响应头

只要 $cors_origin 不为空，就说明来源合法，此时才添加 CORS 相关头部：

确保只在 API 路径（如 /api/）下生效，避免静态资源也被加上跨域头
必须同时设置 Access-Control-Allow-Credentials true（如果前端带 cookie），且此时 Access-Control-Allow-Origin 不能为 *，必须是具体域名
支持常见方法和请求头，例如 Content-Type、Authorization

示例配置：

Nginx Config Linter

对 Nginx 配置文件进行语法检查、验证和安全、性能审计。

下载

location ^~ /api/ {
    if ($cors_origin != "") {
        add_header 'Access-Control-Allow-Origin' $cors_origin;
        add_header 'Access-Control-Allow-Methods' 'GET, POST, PUT, DELETE, OPTIONS';
        add_header 'Access-Control-Allow-Headers' 'Content-Type, Authorization, X-Requested-With';
        add_header 'Access-Control-Allow-Credentials' 'true';
        add_header 'Access-Control-Expose-Headers' 'Content-Length';
    }
<pre class="brush:php;toolbar:false;"># 单独处理 OPTIONS 预检请求（推荐拆开，避免 if + proxy_pass 冲突）
if ($request_method = 'OPTIONS') {
    add_header 'Access-Control-Max-Age' 1728000;
    add_header 'Content-Type' 'text/plain; charset=utf-8';
    add_header 'Content-Length' 0;
    return 204;
}

proxy_pass http://backend;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;

}

避免常见错误

这些细节容易被忽略，但直接影响是否生效：

不要在同一个 location 里混用 if 和 proxy_pass —— Nginx 官方明确不推荐，可能导致 header 丢失或 502 错误
前后端不要同时配置 CORS —— 浏览器会拒绝含多个 Access-Control-Allow-Origin 的响应
如果用了 Access-Control-Allow-Credentials true，Access-Control-Allow-Origin 必须是具体域名，不能是 *
本地开发用 http://localhost:3000 时，协议、端口、主机都要完全匹配，少一个字符都不行