Nginx两种Access-Control-Allow-Origin配置的差异及共存疑问

一、核心差异对比 #

1. 固定通配符配置 #

add_header "Access-Control-Allow-Origin" *;

• 行为：固定返回*作为允许的跨域源，所有域名都能跨域访问。
• 限制：当请求携带Credentials（如Cookie、HTTP认证信息）时，浏览器会直接拒绝该响应——W3C规范明确禁止*与Credentials同时使用。
• 生效范围：仅在Nginx返回2xx/3xx状态码时添加响应头，若返回4xx/5xx错误，该头不会被发送。

2. 动态源+强制生效配置 #

add_header "Access-Control-Allow-Origin" $http_origin always;

• 行为：$http_origin是Nginx内置变量，会直接读取请求头中的Origin值并返回给客户端，实现动态匹配请求源，完美适配带Credentials的跨域场景（需配合Access-Control-Allow-Credentials: true配置）。
• 关键特性：always关键字确保无论Nginx返回什么状态码（包括4xx/5xx错误），该响应头都会被发送给客户端。

二、同时使用两者的影响 #

在同一配置块中同时写这两行，Nginx会以最后定义的配置为准，直接覆盖前面的规则。这种写法属于冗余配置，没有实际意义，建议只保留符合业务需求的那一项。

三、配置变更后恢复正常的原因 #

你之前用*出现CORS问题，基本是以下两种场景之一：

• 用户请求携带了Credentials（比如前端开启了withCredentials: true，或请求包含Cookie），浏览器因*与Credentials的规范冲突，直接拦截响应导致跨域失败。换成$http_origin后，返回的是请求的具体Origin，符合规范要求，浏览器允许带Credentials的跨域请求。
• 用户请求触发了Nginx返回错误状态码（如404、500），原配置未加always，错误响应中没有Access-Control-Allow-Origin头，浏览器检测不到该头，判定跨域失败。添加always后，错误响应也会携带该头，解决了问题。

内容的提问来源于stack exchange，提问作者halsbrew