Nginx限流触发时未返回429状态码反而报CORS错误如何解决

• 浏览器发送跨域异步请求前，会自动发送OPTIONS类型的预检请求校验跨域权限，你的Nginx限流规则将预检请求也纳入了限流范围，触发阈值时直接给OPTIONS请求返回429状态码，且没有返回正确的CORS响应头，浏览器校验跨域失败就会抛出CORS错误，不会感知到后续的429状态码。
• 你当前的CORS配置存在规则冲突：同时设置了Access-Control-Allow-Credentials: true和Access-Control-Allow-Origin: *，浏览器CORS规范明确禁止带身份凭据的请求使用通配符作为允许的源，即使没有触发限流也存在跨域隐患。
• curl请求不会自动发送OPTIONS预检请求，直接发送实际业务请求，所以可以正常拿到429响应内容。

调整/custom/url对应的Nginx location配置，单独处理OPTIONS预检请求，修正CORS规则：

location /custom/url {
    # 单独处理OPTIONS预检请求，不经过限流
    if ($request_method = OPTIONS) {
        add_header Access-Control-Allow-Credentials 'true';
        # 替换为你实际的前端域名，不要用通配符*
        add_header Access-Control-Allow-Origin 'https://example.com';
        # 按需配置允许的请求方法
        add_header Access-Control-Allow-Methods 'GET, POST, PUT, DELETE, OPTIONS';
        # 按需配置允许的请求头
        add_header Access-Control-Allow-Headers 'Content-Type, Authorization';
        # 预检结果缓存1天，减少重复预检请求
        add_header Access-Control-Max-Age 86400;
        return 204;
    }

    # 正常请求的CORS头，always参数保证错误响应也会携带头信息
    add_header Access-Control-Allow-Credentials 'true' always;
    add_header Access-Control-Allow-Origin 'https://example.com' always;

    limit_req zone=mylimit burst=5 nodelay;
    limit_req_log_level error;
    limit_req_status 429;
    proxy_pass http://myip:myport/custom/url;
}

配置修改后重载Nginx即可，此时触发限流时，预检请求可以正常通过，实际业务请求返回的429响应会携带正确的CORS头，浏览器可以正常识别429状态码，不会抛出跨域错误。

内容的提问来源于stack exchange，提问作者Enmanuel Duran