1
scheme://host:port
2

3
오리진 비교:
4
https://example.com:443/path ← 기준 URL
5

6
같은 오리진:
7

8
- https://example.com/other (443 포트 생략)
9
- https://example.com:443/api
10

11
다른 오리진:
12

13
- http://example.com (scheme 다름)
14
- https://api.example.com (host 다름)
15
- https://example.com:8443 (port 다름)

1
# 특정 오리진만 허용( 정적 cors)
2
add_header Access-Control-Allow-Origin "https://app.allowed.com";
3

4
# 모든 오리진 허용
5
add_header Access-Control-Allow-Origin "*";
6

7
# 동적 cors (요청 오리진. 클라이언트가 보낸 오리진을 허용)
8
add_header Access-Control-Allow-Origin $http_origin;
9
# Vary: Origin은 CDN/Proxy에게  origin별 별도 캐싱을 지시
10
# 동적 cors 사용 시 필수
11
add_header Vary "Origin"
12

13
# 조건부 cors
14
map $http_origin $cors_origin {
15
    default "";
16
    "https://app.example.com" $http_origin;
17
    "https://admin.example.com" $http_origin;
18
}
19

20
location /api {
21
    add_header Access-Control-Allow-Origin $cors_origin;
22
    add_header Vary "Origin";  # 여전히 필요함
23

24
    # 허용되지 않은 오리진은 빈 응답 → 이것도 캐시됨
25
}

1
# 허용할 HTTP 메서드 명시
2
add_header Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS";

1
add_header Access-Control-Allow-Headers "Content-Type, Authorization, X-Request-ID";

1
# 쿠키/인증 정보 포함 허용 (Origin이 * 이면 안됨)
2
add_header Access-Control-Allow-Credentials "true";
3

4
# 프리플라이트 응답 캐시 시간 (초)
5
add_header Access-Control-Max-Age "86400";  # 24시간

1
# $http_origin을 그대로 반사 - 모든 오리진 허용
2

3
location /api {
4
    if ($request_method = 'OPTIONS') {
5
        add_header Access-Control-Allow-Origin $http_origin always;
6
        add_header Access-Control-Allow-Methods 'GET, POST, PUT, DELETE, OPTIONS' always;
7
        add_header Access-Control-Allow-Headers 'Content-Type, Authorization' always;
8
        add_header Access-Control-Max-Age 86400;
9
        return 204; # 요청이 성공했지만 서버에서 반환할 정보가 없음
10
    }
11

12
    add_header Access-Control-Allow-Origin $http_origin always;
13
    proxy_pass http://backend;
14
}

1
# map을 이용한 허용 오리진 관리
2
map $http_origin $cors_origin {
3
    default "";
4
    "https://app.example.com" $http_origin;
5
    "https://admin.example.com" $http_origin;
6
    "http://localhost:3000" $http_origin;
7
}
8

9
location /api {
10
    if ($request_method = 'OPTIONS') {
11
        add_header Access-Control-Allow-Origin $cors_origin always;
12
        # etc..
13
        return 204;
14
    }
15

16
    add_header Access-Control-Allow-Origin $cors_origin always;
17
    proxy_pass http://backend;
18
}