Nginx location 配置中如何配置以允许特定的跨域 OPTIONS 预检

<p>关键是在 Nginx 层面拦截并返回 204 响应，而非转发 OPTIONS 请求；需用两个顺序明确的 location 块（OPTIONS 拦截在前）、add_header 加 always 参数、Origin 精确匹配且禁用 * 配合 credentials。</p>

要在 Nginx 的 location 块中正确支持特定跨域的 OPTIONS 预检请求，关键不是“允许”它转发给后端，而是由 Nginx 自己快速、合规地响应它。浏览器发来的预检请求（OPTIONS）不带请求体，也不需要业务逻辑，必须在 Nginx 层面拦截并返回 204 或 200 + 完整 CORS 头，否则会卡住或报错。

用独立 location 拦截 OPTIONS（推荐）

避免在 proxy_pass 同一个 location 内混用 if + proxy_pass——这会导致 header 丢失、502 错误或后端收不到真实请求头。

1. 为 API 路径（如 /api/）配置两个顺序明确的 location 块：第一个精准匹配 OPTIONS 请求，第二个处理真实转发
2. OPTIONS location 必须写在 proxy_pass location 之前，否则 Nginx 可能按字典序误匹配
3. 示例配置：

必须加 always 参数

add_header 默认只对 2xx 和 3xx 响应生效。而 OPTIONS 返回 204 是 2xx，看似没问题，但某些 Nginx 版本或嵌套上下文下仍可能失效。加上 always 可确保头字段稳定输出：

1. add_header Access-Control-Allow-Origin "https://your-frontend.com" always;
2. add_header Access-Control-Allow-Credentials "true" always;
3. 没有 always，带凭证（withCredentials: true）的请求大概率失败

Origin 必须精确匹配，不能用 * 配合 credentials

如果前端设置了 credentials: true（比如要传 Cookie），则 Access-Control-Allow-Origin 不能写 *，必须指定确切域名（支持多个域名需用 map 动态判断）：

1. ✅ 正确：add_header Access-Control-Allow-Origin "https://app.example.com" always;
2. ❌ 错误：add_header Access-Control-Allow-Origin "*" always;（配合 credentials 会直接被浏览器拒绝）
3. 若需多域名，可用 map 模块做白名单映射，再引用变量

验证预检是否真正生效

别只看浏览器控制台，要确认请求确实到达 Nginx 并得到合规响应：

1. 在 access_log 中添加 $request_method $status 字段，复现请求后查日志是否有 OPTIONS 204
2. 用 curl 模拟预检：

   curl -X OPTIONS -H "Origin: https://app.example.com" 
   -H "Access-Control-Request-Method: POST" 
   -I http://your-api.com/api/user

   检查响应头是否含 Access-Control-Allow-Origin 等字段，状态码是否为 204