nginx反向代理实现严格跨域安全的核心是消除跨域场景并强化代理层控制：通过精确location匹配、静态proxy_pass、强制重写请求头、最小化cors配置、访问限流与日志审计，确保代理不被滥用且可追溯。
在 Nginx 反向代理中实现严格的跨域安全校验，核心思路不是“放行所有跨域请求”，而是彻底消除跨域场景本身（通过代理隐藏真实后端），再配合精细化的请求控制与响应头约束，防止代理被滥用或引入安全风险。以下是关键配置要点：
一、严格限制可代理的目标域名和路径
避免使用通配符或宽松匹配，明确限定哪些接口能被代理、只能由哪些来源访问：
- 用
location ^~ /api/v1/替代location /api，防止意外匹配到/api-admin等敏感路径 - proxy_pass 后端地址必须写死为可信内网域名或 IP，禁用变量拼接（如
$arg_backend），杜绝 SSRF 风险 - 若需多环境区分，用
upstream显式定义，并关闭动态解析：resolver 127.0.0.1 valid=30s;→ 改为静态 IP 列表
二、强制校验并重写请求头，阻断非法来源
不依赖前端传来的 Host 或 Origin，主动剥离/覆盖高风险头，只保留必要字段：
- 清除客户端可能伪造的头：
proxy_set_header Origin "";、proxy_hide_header X-Forwarded-Host; - 强制设置可信 Host：
proxy_set_header Host "api.internal.company.com";（非$host） - 校验 Referer（可选但推荐）：
if ($http_referer !~ ^(https?://(app\.company\.com|dashboard\.company\.com)/)) { return 403; }
三、CORS 响应头按最小权限原则配置
即使走代理，仍需显式控制浏览器行为，禁止宽泛放行：
- 不允许通配符
*与credentials共存：add_header 'Access-Control-Allow-Origin' 'https://app.company.com' always; - 精确声明允许的方法和头：
add_header 'Access-Control-Allow-Methods' 'GET,POST' always;，去掉 PUT/DELETE 等高危方法 - 禁用凭证共享：
add_header 'Access-Control-Allow-Credentials' 'false' always;（除非确需 Cookie） - 预检请求严格拦截：
if ($request_method = 'OPTIONS') { add_header 'Access-Control-Max-Age' 600; return 204; }
四、启用代理级访问控制与日志审计
在代理层做第一道防线，留下可追溯痕迹：
- 限制请求频率：
limit_req zone=api burst=10 nodelay;（需提前定义 limit_req_zone） - 记录真实客户端 IP 和被代理目标：
log_format proxy_log '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" "$upstream_addr"'; - 拒绝非常规 User-Agent 或空 UA：
if ($http_user_agent ~ "(sqlmap|nmap|wget|curl)") { return 403; }
不复杂但容易忽略：严格跨域代理的本质是“让浏览器认为没跨域”，同时确保 Nginx 自身不成为攻击跳板。每一条 proxy_set_header、每一个 add_header、每一次 if 判断，都要回答“这个值是否可控？是否可能被绕过？是否超出最小必要？”
