NGINX反向代理下Access-Control-Allow-Origin多值CORS问题求助

解决方案 #

修改location /块的配置，先隐藏后端服务返回的跨域头，再添加自定义跨域头并指定always参数，确保所有响应状态码下都能生效：

location / {
    proxy_http_version 1.1;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection 'upgrade';
    proxy_set_header Host $http_host;
    proxy_cache_bypass $http_upgrade;
    proxy_pass http://127.0.0.1:59595;
    
    # 隐藏后端返回的跨域头，避免重复
    proxy_hide_header Access-Control-Allow-Origin;
    # 添加自定义跨域头，always参数确保所有状态码响应都包含该头
    add_header 'Access-Control-Allow-Origin' 'https://www.alloy.love' always;
}

原因分析 #

1. 两个跨域头的问题：你的后端服务（http://127.0.0.1:59595）本身也会返回Access-Control-Allow-Origin头，当你通过NGINX的add_header手动添加时，后端的头和你添加的头会同时出现在响应中，导致重复。
2. 移除add_header后无跨域头的问题：要么是后端服务仅在特定请求条件下返回跨域头，你的测试请求触发了后端不返回的分支；要么是你引入的ssl-params.conf配置文件中存在proxy_hide_header Access-Control-Allow-Origin规则，自动隐藏了后端返回的头。
3. proxy_hide_header导致完全无跨域头的问题：NGINX默认的add_header仅对200、201、301这类成功/重定向状态码生效，如果请求返回4xx、5xx等错误状态码，add_header不会生效。此时proxy_hide_header已经隐藏了后端的头，最终响应就完全没有跨域头了。添加always参数后，add_header会在所有状态码的响应中强制添加该头。

额外检查 #

可以打开/etc/nginx/snippets/ssl-params.conf文件，确认其中是否存在影响跨域头的配置（比如proxy_hide_header或add_header规则），避免其他配置干扰。

内容的提问来源于stack exchange，提问作者Jordan Cote