CORS请求HTTP转HTTPS301重定向后Origin为null的Nginx解决方案咨询

这确实是浏览器出于隐私安全限制的默认行为——跨协议（HTTP到HTTPS）的301重定向会被浏览器判定为敏感跳转，因此会将后续HTTPS请求的Origin设为null。不过你不用直接强制客户端只发HTTPS请求，有两个更优雅的解决思路：

方案一：在HTTP重定向阶段就处理CORS头 #

在你的HTTP（80端口）Nginx配置块中，直接添加CORS相关响应头，再返回301重定向。这样浏览器会先认可初始HTTP请求的CORS策略，后续跳转的HTTPS请求就不会把Origin设为null了。示例配置如下：

server {
    listen 80;
    server_name your-domain.com;

    # 处理CORS头
    if ($http_origin) {
        add_header Access-Control-Allow-Origin $http_origin always;
        add_header Access-Control-Allow-Methods GET,POST,OPTIONS always;
        add_header Access-Control-Allow-Headers Content-Type always;
    }

    # 处理OPTIONS预检请求
    if ($request_method = OPTIONS) {
        return 204;
    }

    # 重定向到HTTPS
    return 301 https://$server_name$request_uri;
}

注意：always参数很关键，它能确保这些头在3xx重定向响应中也被返回，默认情况下Nginx不会在重定向响应中添加自定义头。

方案二：在HTTPS配置中允许Origin为null #

如果不想修改HTTP配置，也可以在HTTPS的Nginx配置里，把null加入允许的Origin范围，这样当浏览器发送Origin: null的请求时，依然能正确返回CORS头。示例配置：

server {
    listen 443 ssl;
    server_name your-domain.com;

    # 允许合法Origin和null
    set $allowed_origin "";
    if ($http_origin ~* "^https?://(your-domain.com|sub.your-domain.com)$") {
        set $allowed_origin $http_origin;
    }
    if ($http_origin = "null") {
        set $allowed_origin "null";
    }

    add_header Access-Control-Allow-Origin $allowed_origin always;
    add_header Access-Control-Allow-Methods GET,POST,OPTIONS always;
    add_header Access-Control-Allow-Headers Content-Type always;

    # 处理OPTIONS预检
    if ($request_method = OPTIONS) {
        return 204;
    }

    # 其他HTTPS配置...
}

这个方案的核心是主动识别Origin: null的请求，并允许它作为合法来源。

额外建议 #

如果你的业务场景允许，最好还是通过HSTS（HTTP严格传输安全）头强制客户端后续直接使用HTTPS，从根源上避免HTTP请求的出现。可以在HTTPS配置中添加：

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

这样浏览器在第一次访问后，未来一年内都会直接用HTTPS请求你的域名，彻底解决重定向带来的CORS问题。

内容的提问来源于stack exchange，提问作者Nay Min