推荐用正则location匹配所有路径并在内部用if判断options方法，返回204并设置带always的cors头；可配合map实现白名单校验，确保不干扰正常请求且预检高效可靠。
直接在 server 块里写一条通用的 location 捕获所有 OPTIONS 请求，返回 204 并设置必要 CORS 头，就能一劳永逸处理全站预检请求。
用正则 location 拦截所有 OPTIONS 方法
不需要为每个 API 路径单独配 location，用方法匹配最简洁：
- 使用
location / { }+if ($request_method = 'OPTIONS') { ... }是常见但不推荐的做法（if 在 location 外不安全，且 Nginx 官方明确建议避免在 location 外用 if 判断 request_method） - 正确做法是用
location的 method-based 匹配：Nginx 本身不支持按 method 直接定义 location，但可通过内部重写或利用limit_except配合空内容体实现；更稳妥通用的是：用正则匹配所有路径，再用 if 判断 method（仅限于 location 内部） - 推荐写法：
location ~ ^/ {
if ($request_method = 'OPTIONS') {
add_header Access-Control-Allow-Origin "$http_origin" always;
add_header Access-Control-Allow-Methods "GET, POST, PUT, DELETE, PATCH, OPTIONS" always;
add_header Access-Control-Allow-Headers "DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Authorization,Accept" always;
add_header Access-Control-Allow-Credentials "true" always;
add_header Access-Control-Max-Age "86400" always;
add_header Access-Control-Expose-Headers "X-Total-Count, X-Page-Count" always;
add_header Content-Length 0 always;
add_header Content-Type text/plain;
return 204;
}
}
注意：if 在 location 内是安全的；always 确保响应头不被缓存覆盖；return 204 终止后续处理，高效可靠。
把 CORS 头统一抽到 map 或变量中（可选优化）
如果多个 location 都需要 CORS 支持，避免重复写 header，可用 map 提前定义允许源：
- 在 http 块里定义信任来源：
map $http_origin $cors_origin {
default "";
"~^https?://(localhost|example\.com|myapp\.net)(:[0-9]+)?$" "$http_origin";
}
- 然后在 location 中复用：
if ($request_method = 'OPTIONS') {
add_header Access-Control-Allow-Origin $cors_origin always;
add_header Access-Control-Allow-Credentials "true" always;
# 其他固定 header...
return 204;
}
这样既安全又便于维护，支持白名单校验，不放行任意源（* 和 credentials 不共存）。
确保不干扰正常请求流程
这条规则只响应 OPTIONS，不影响 GET/POST 等真实请求：
- 它必须放在所有实际业务
location规则之前（因为正则匹配优先级高，且需先拦截预检） - 不要加
proxy_pass或try_files，纯响应即可 - 如果用了
auth_request或其他 access 阶段模块，确认它们不会对 OPTIONS 请求做额外鉴权（否则预检可能被拦住） - 某些前端框架（如 Vue CLI 代理）发的 OPTIONS 可能带空 body，Nginx 默认不读 body，所以无需 special 处理
验证是否生效
用 curl 快速测试：
curl -X OPTIONS \ -H "Origin: https://example.com" \ -H "Access-Control-Request-Method: POST" \ -H "Access-Control-Request-Headers: Content-Type, Authorization" \ -I https://your-domain.com/api/users
应返回 HTTP/2 204，且包含全部 Access-Control- 头。若返回 405，说明未命中该 location；若缺头，检查 always 是否遗漏或变量为空。
