负载均衡后CORS失效的核心是跨域控制权分散、Origin透传中断、响应头覆盖或预检流程破坏；须在最外层Nginx集中配置add_header ... always，禁用后端自动CORS，显式透传Origin头，拦截重写302跳转并补全CORS头，确保OPTIONS预检正确响应。

负载均衡接入后 CORS 失效，核心问题不是“头丢了”，而是跨域控制权被分散、Origin 传递中断、响应头被覆盖或预检流程被破坏。必须从链路视角逐层确认控制点是否统一、透传是否完整、拦截是否发生。

检查最外层 Nginx 是否统一管控 CORS 响应头

多级代理（如 CDN → 边缘 Nginx → 应用 Nginx）中，若每层都试图加 CORS 头，极易冲突或被覆盖。正确做法是：只在最靠近客户端的那层（通常是边缘 Nginx 或入口网关）集中设置，其余层级禁用所有 CORS 相关输出。

• 关闭所有后端服务的自动 CORS 配置（如 Spring Boot 的 @CrossOrigin、Express 的 cors() 中间件），避免与 Nginx 的 add_header 冲突导致报错或浏览器拒绝
• 在最外层 server 或 location 块中使用 add_header ... always，确保 302、401 等非 200 响应也携带 CORS 头
• 禁用通配符 * 与 credentials: true 共存：若前端带 Cookie，必须用 map 动态匹配白名单 Origin，例如：

map $http_origin $cors_origin {
  default "";
  "https://app.example.com" "$http_origin";
  "https://staging.example.com" "$http_origin";
}
add_header 'Access-Control-Allow-Origin' $cors_origin always;
add_header 'Access-Control-Allow-Credentials' 'true' always;

验证 Origin 请求头是否逐层透传到位

默认情况下，Nginx 不会自动将 Origin 头转发给下游。只要中间存在一级未显式透传，后端或下一级 Nginx 就收不到原始源信息，CORS 白名单校验即失效。

• 在每一级 Nginx 的对应 location 块中添加：proxy_set_header Origin $http_origin;
• 显式开启请求头透传：proxy_pass_request_headers on;（虽默认开启，但显式声明更可靠）
• 若使用自定义灰度头（如 gray-origin），需先启用 underscores_in_headers on;，再配置 proxy_set_header gray_origin $http_gray_origin;

拦截并重写后端返回的 302 跳转响应

后端返回 302 时，浏览器会以新 URL 发起全新跨域请求，此时 Origin 丢失、预检不触发、CORS 头不继承——这是负载均衡场景下最隐蔽的失效点。

• 启用错误拦截：proxy_intercept_errors on;
• 为 302 响应单独配置处理：用 error_page 302 = @handle_redirect;，并在 @handle_redirect 中重写 Location 头，同时补全 CORS 响应头
• 避免依赖后端补头：后端无法控制跳转后的新请求上下文，必须由 Nginx 在跳转前完成头注入与地址改写

确认预检请求（OPTIONS）是否被正确响应

复杂请求（含自定义头、PUT/DELETE 方法、credentials）必走 OPTIONS 预检。若负载均衡层未放行 OPTIONS，或未返回完整响应头，后续请求根本不会发出。

• 手动测试预检：curl -X OPTIONS -H "Origin: https://app.example.com" -H "Access-Control-Request-Method: POST" -H "Access-Control-Request-Headers: x-request-id,Authorization" http://your-api.com/path
• 响应中必须包含：Access-Control-Allow-Origin、Access-Control-Allow-Methods（含实际方法）、Access-Control-Allow-Headers（含所有自定义头，一个都不能少）
• 确保 location 块匹配 OPTIONS 请求：可显式加 location = / { if ($request_method = 'OPTIONS') { add_header ...; return 204; } } 避免被其他规则拦截