Access-Control-Allow-Header不允许使用Access-Control-Allow-Origin

我有两个单独的服务器，一个是带有节点的nginx，另一个是带有django-rest-framework的django，用于构建ding REST API，nginx负责REST API请求，节点负责客户端请求，我也使用polymer用于前端。下面是一个简短说明：

机器一：

nginx:192.168.239.149:8888 (API listening address) forward to 192.168.239.147:8080

node:192.168.239.149:80 (client listening address)

机器二：

unicorn:192.168.239.147:8080(listening address)

该过程是当请求进入时，节点服务器（192.168.239.149:80）响应以返回html，在html中，AJAX请求中请求一个PI Server（nginx:192.168.239.149:8888 forward to unicorn:192.168.239.147:8080），然后unicorn（192.168.239.147:8080）返回结果。

但是有一个CORS问题，我读了很多文章，很多人也遇到了同样的问题，我尝试了很多方法，但是没有帮助。仍然出错。

我得到的是：

那是：

XMLHttpRequest cannot load http://192.168.239.149:8888/article/. Request header field Access-Control-Allow-Origin is not allowed by Access-Control-Allow-Headers.

我所做的是：

核心ajax

<core-ajax auto headers='{"Access-Control-Allow-Origin":"*","X-Requested-With": "XMLHttpRequest"}'  url="http://192.168.239.149:8888/article/" handleAs="json" response="{{response}}"></core-ajax>

nginx：

http {
    include       mime.types;
    default_type  application/octet-stream;
    access_log /tmp/nginx.access.log;
    sendfile on;
    upstream realservers{
                #server 192.168.239.140:8080;
                #server 192.168.239.138:8000;
                server 192.168.239.147:8080;
    }
server {
        listen       8888 default;
        server_name  example.com;
        client_max_body_size 4G;
        keepalive_timeout 5;
        location / {
             add_header Access-Control-Allow-Origin *;
                try_files $uri $uri/index.html $uri.html @proxy_to_app;
                }
location @proxy_to_app{
                add_header Access-Control-Allow-Origin *;
                proxy_set_header X-Real-IP $remote_addr;
                proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
                proxy_set_header Host $http_host;
                #proxy_set_header X-Real-IP $remote_addr;
                proxy_redirect off;
                proxy_pass http://realservers;
        }
}
}

节点：

app.listen(80, function() {
  console.log('server.js running');
});

独角兽：

return Response(serializer.data,headers={'Access-Control-Allow-Origin':'*',
                                                                           'Access-Control-Allow-Methods':'GET',
                                                                           'Access-Control-Allow-Headers':'Access-Control-Allow-Origin, x-requested-with, content-type',
                                                                           })

因为，我对CORS没有太多的经验，并且我想彻底地理解它，所以有人可以指出我在这里做错了什么，我将非常感谢！