CORS 配置生成器

可视化配置 CORS 跨域响应头，输出 Nginx、Apache、Express.js 及原生 HTTP 头部配置。

预设方案：

Access-Control-Allow-Origin

指定允许跨域访问的来源

Access-Control-Allow-Methods

允许的 HTTP 方法

GET

POST

PUT

DELETE

PATCH

OPTIONS

HEAD

Access-Control-Allow-Headers

允许的自定义请求头，逗号分隔

Access-Control-Expose-Headers

允许浏览器读取的响应头，逗号分隔

Access-Control-Allow-Credentials

是否允许携带 Cookie

Access-Control-Max-Age

预检请求缓存时间（秒）

输出格式

选择生成配置的目标服务器/框架

生成结果

# CORS 配置 - 添加到 server 或 location 块中
add_header Access-Control-Allow-Origin "*" always;
add_header Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS" always;
add_header Access-Control-Allow-Headers "Content-Type, Authorization" always;
add_header Access-Control-Max-Age "86400" always;

# 处理预检请求
if ($request_method = OPTIONS) {
    return 204;
}

使用说明

功能介绍

CORS（Cross-Origin Resource Sharing，跨域资源共享）是一种基于 HTTP 头的机制，允许服务器声明浏览器允许哪些跨域请求。本工具可视化配置 Access-Control-Allow-Origin、Methods、Headers、Credentials 等响应头，并实时输出 Nginx、Apache、Express.js 及原生 HTTP 头部格式配置，方便快速集成到不同后端环境。

操作步骤

选择来源模式（通配符 *、单个 Origin 或多个 Origin），勾选允许的 HTTP 方法，填写允许与暴露的请求头，按需开启 Credentials 并设置 Max-Age，选择输出格式后配置将实时生成在下方文本框，点击「复制配置」即可一键复制到剪贴板。也可点击顶部预设方案快速套用常见配置组合。

注意事项

生产环境强烈不建议使用通配符 *；当 Allow-Credentials 为 true 时，Allow-Origin 不能为 *，必须指定具体域名，这是 CORS 规范的强制要求；通配符 * 与 Credentials 互斥；预检请求（OPTIONS）需单独处理，Nginx 中通常配合 if ($request_method = OPTIONS) 返回 204；多个 Origin 时后端需动态校验请求头中的 Origin 并返回对应值。