必须先用 proxy_hide_header 屏蔽后端 CORS 头，再用 add_header always 统一注入，否则浏览器因重复头拒绝响应；需确保 Origin 与 Credentials 兼容且后端彻底关闭 CORS 自动配置。
直接在 Nginx 的
块中用
屏蔽后端返回的 CORS 头，再由 Nginx 统一注入合规头，就能避免重复或冲突。关键不是“加什么”，而是“先清再加”——顺序和隔离缺一不可。
为什么必须先隐藏后端 CORS 头
当后端（如 Spring Boot、Express 或 Gin）已自行设置
等头，而 Nginx 又在同个 location 里用
再加一遍，浏览器会收到多个同名响应头。这会导致：
CORS 预检（OPTIONS）失败，报错 “Response to preflight request doesn’t pass access control check”
实际请求返回 200，但被浏览器静默拦截
Chrome 等现代浏览器直接拒绝含重复
的响应
标准配置：三步闭环
所有操作都在
所在的
块内完成，按顺序执行：
用
明确屏蔽后端可能返回的冲突头：
用
重新注入干净、可控的头（
确保对 204/302 等非 2xx 响应也生效）：
单独处理 OPTIONS 请求，避免转发给后端：
两个必须检查的安全细节
这两点不满足，即使配置语法正确，浏览器仍会拒绝请求：
Origin 和 Credentials 不能共存于通配符
：若
设为
，则
必须为
；如需传 Cookie 或 Authorization，Origin 必须写具体协议+域名（如
）
确保后端彻底关闭 CORS 自动注入
：禁用 Express 的
、Spring 的
或全局过滤器；用
验证响应头中不再出现任何
开头的头
如何验证是否生效
执行命令检查响应头输出：
正确结果应满足：
响应中只出现一次
，且值与你在 Nginx 中配置的完全一致
没有
和
同时存在
无换行、无多余空格、无拼接痕迹（尤其注意引号和空格）
值为
时，
不是通配符
locationproxy_hide_headerAccess-Control-Allow-Originadd_headerAccess-Control-Allow-Originproxy_passlocationproxy_hide_headerproxy_hide_header Access-Control-Allow-Origin;
proxy_hide_header Access-Control-Allow-Methods;
proxy_hide_header Access-Control-Allow-Headers;
proxy_hide_header Access-Control-Allow-Credentials;
proxy_hide_header Access-Control-Expose-Headers;add_header ... alwaysalwaysadd_header 'Access-Control-Allow-Origin' 'https://your-frontend.com' always;
add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS, PUT, DELETE' always;
add_header 'Access-Control-Allow-Headers' 'Content-Type, Authorization, X-Requested-With' always;
add_header 'Access-Control-Allow-Credentials' 'true' always;if ($request_method = 'OPTIONS') {
add_header 'Access-Control-Max-Age' 1728000;
add_header 'Content-Type' 'text/plain; charset=utf-8';
add_header 'Content-Length' 0;
return 204;
}Access-Control-Allow-Origin*Access-Control-Allow-Credentialsfalsehttps://app.example.comcors()@CrossOrigincurl -I -X OPTIONS https://your-api.com/xxxAccess-Control-curl -I -H "Origin: https://your-frontend.com" -X OPTIONS https://your-api.com/api/testAccess-Control-Allow-OriginAccess-Control-Allow-Origin: *Access-Control-Allow-Origin: https://...Access-Control-Allow-CredentialstrueAccess-Control-Allow-Origin