nginx CORS для поддоменов - пример

Например:

map $http_origin $allow_origin {
    ~^https?://(.*\.)?proxytest.loc(:\d+)?$ $http_origin;
    default '';
}

server {
    listen 80;
    server_name proxytest.loc api1.proxytest.loc api2.proxytest.loc;
    location / {
        #CORS
        add_header Access-Control-Allow-Origin $allow_origin;
    }
}

-- разрешит запрашивать данные с домена proxytest.loc и любых его поддоменов, здесь мы используем уже известное серверу значение http_origin и вычисляем значение allow_origin для ответа сервера с помощью конструкции map.