Nginx配置CORS后非允许Origin请求未被拦截的问题咨询

问题根源 #

你遇到的问题来自两个核心疏漏：

1. 对CORS机制的误解：CORS的跨域限制是浏览器端的安全策略，服务器本身不会主动拒绝跨域请求，只是通过响应头告知浏览器是否允许当前源的前端脚本读取响应内容。curl这类非浏览器工具不会执行CORS检查，所以即使Origin不匹配，依然能获取到响应内容。
2. Nginx配置错误：当前配置固定返回Access-Control-Allow-Origin: fedser.stack.com，不管请求的Origin是什么，没有根据请求源动态判断是否允许跨域。

正确的Nginx CORS配置 #

修改Nginx配置，实现动态匹配允许的Origin，并处理预检请求（OPTIONS）：

server {
    location /proxyflask {
        # 定义允许的源（可添加多个，用|分隔）
        set $allowed_origin "";
        if ($http_origin ~* "^http://fedser.stack.com$") {
            set $allowed_origin $http_origin;
        }
        # 仅当源被允许时返回CORS头
        add_header Access-Control-Allow-Origin $allowed_origin;

        # 处理OPTIONS预检请求（非简单请求会触发）
        if ($request_method = OPTIONS) {
            add_header Access-Control-Allow-Methods "POST, GET, OPTIONS";
            add_header Access-Control-Allow-Headers "Content-Type";
            add_header Access-Control-Max-Age 3600;
            return 204;
        }

        proxy_pass http://fedser.stack.com:2121/postjson;
    }
}

配置说明 #

• 动态Origin匹配：通过$http_origin变量获取请求的Origin，仅当匹配到允许的域名时，才设置Access-Control-Allow-Origin头为该Origin，否则不返回此头。
• 预检请求处理：对于Content-Type: application/json这类非简单请求，浏览器会先发送OPTIONS预检请求，需要返回对应的CORS头并结束请求（返回204），避免转发到Flask后端。
• 浏览器端验证：用浏览器发起跨域请求时，如果Origin不被允许，浏览器会在控制台抛出CORS错误，阻止前端脚本读取响应，这才是CORS限制的实际体现。

测试验证 #

用curl测试时，当Origin为http://example.com，响应头中将不会包含Access-Control-Allow-Origin，此时浏览器会拦截跨域访问，而curl仍会显示响应内容（因为它不做CORS检查）。

内容的提问来源于stack exchange，提问作者sb9