首次通过Nginx调用API出现CORS/503错误，多路径请求时问题复现

核心问题分析 #

1. 503错误根源：你配置的limit_req限流规则默认未设置突发请求阈值，当同时发起多个API请求时，瞬间请求量突破每分钟400次的限制，触发Nginx限流返回503。
2. CORS错误根源：Nginx默认仅在返回2xx/3xx状态码时添加add_header定义的响应头，返回503错误时CORS头缺失，导致前端报跨域错误。

具体修复步骤 #

1. 调整限流规则，允许突发请求

修改limit_req_zone和location内的限流配置，添加burst和nodelay参数，避免瞬间多请求被限流：

limit_req_zone $binary_remote_addr zone=one:10m rate=400r/m;
server {
    # 原有server配置...
    location / {
        # 原有代理配置...
        # 允许20个突发请求，nodelay避免请求排队等待
        limit_req zone=one burst=20 nodelay;
    }
}

• burst=20：允许超过限流速率的20个请求暂时排队
• nodelay：不对排队请求做延迟处理，直接转发给后端，避免请求超时

2. 配置全局生效的CORS响应头

取消add_header Access-Control-Allow-Origin *的注释，并添加always参数，确保所有状态码（包括错误码）都返回CORS头；同时处理OPTIONS预检请求：

location / {
    proxy_pass http://localhost:5000 ;
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection 'upgrade';
    proxy_set_header Host $host;
    proxy_cache_bypass $http_upgrade;

    # 全局生效的CORS头，always确保错误状态下也返回
    add_header Access-Control-Allow-Origin * always;
    add_header Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS" always;
    add_header Access-Control-Allow-Headers "Content-Type, Authorization" always;

    # 处理OPTIONS预检请求，直接返回204
    if ($request_method = OPTIONS) {
        return 204;
    }

    limit_req zone=one burst=20 nodelay;
}

3. 验证后端服务并发能力

虽然直接IP访问正常，但Nginx代理后可能带来更高的并发请求量，检查Node.js服务的并发配置：

• 对于Express框架，确保没有限制请求数的配置
• 可通过调整Node.js的maxConnections参数（默认无限制），或者使用PM2等进程管理器提升服务并发处理能力

修改后的完整Nginx配置示例 #

limit_req_zone $binary_remote_addr zone=one:10m rate=400r/m;
server { 
    root /var/www/html;
    index index.html index.htm index.nginx-debian.html;
    server_name example.xyz www.example.xyz;

    location / {
        proxy_pass http://localhost:5000 ;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection 'upgrade';
        proxy_set_header Host $host;
        proxy_cache_bypass $http_upgrade;

        add_header Access-Control-Allow-Origin * always;
        add_header Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS" always;
        add_header Access-Control-Allow-Headers "Content-Type, Authorization" always;

        if ($request_method = OPTIONS) {
            return 204;
        }

        limit_req zone=one burst=20 nodelay;
    }

    listen 443 ssl; # managed by Certbot
    ssl_certificate /etc/letsencrypt/live/example.xyz/fullchain.pem; # managed by Certbot
    ssl_certificate_key /etc/letsencrypt/live/example.xyz/privkey.pem; # managed by Certbot
    include /etc/letsencrypt/options-ssl-nginx.conf; # managed by Certbot
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem; # managed by Certbot
}

内容的提问来源于stack exchange，提问作者4G4S