ASP.NET Core 9 Minimal API配置CORS后仍遇跨域错误求助

可能原因1：IIS CORS模块与ASP.NET Core CORS冲突 #

若服务器IIS安装了CORS模块，它会优先处理CORS请求，覆盖ASP.NET Core返回的CORS头。即使ASP.NET Core配置了正确规则，IIS的CORS模块可能拦截并返回不符合要求的头，导致浏览器报错。

解决步骤： #

• 打开IIS管理器，找到对应站点，检查是否启用了CORS模块（功能视图中查看）。
• 若已启用，直接禁用该模块（右键模块→移除）；或在IIS的CORS配置中添加允许的Origin（建议优先使用ASP.NET Core的CORS配置，避免双重配置冲突）。

可能原因2：路由前缀不匹配 #

你提到Angular通过http://localhost/api/...调用后端，但Login端点定义的路径是/auth/login，若未给所有API端点添加/api前缀，实际请求路径会不匹配，浏览器可能将404错误伪装成CORS报错。

解决步骤： #

在Program.cs中给端点添加/api前缀：

// 替换原有的app.MapEndpoints();
app.MapEndpoints(app.MapGroup("/api"));

可能原因3：登录端点未允许匿名访问 #

当前Login端点未配置.AllowAnonymous()，远程请求时授权中间件可能拦截POST请求，导致响应头缺失CORS信息（请求在授权阶段被处理，未走到端点逻辑）。

修正Login端点： #

app.MapPost("/auth/login", async (Login login, IAuthService authService) => 
{
    var result = await authService.Login(login);
    return result.IsSuccess ? Results.Ok(result.Value) : result.Problem();
})  
.WithTags("Auth")
.WithValidation<Login>()
.AllowAnonymous() // 添加此规则，允许匿名访问登录端点
.Produces<Token>(StatusCodes.Status200OK)
.Produces<ProblemDetails>(StatusCodes.Status400BadRequest)
.Produces<ProblemDetails>(StatusCodes.Status500InternalServerError);

可能原因4：中间件顺序错误 #

ASP.NET Core中间件执行顺序直接影响请求处理流程，需确保UseCors在UseAuthentication和UseAuthorization之前；若部署了Angular静态文件，UseStaticFiles需放在UseCors之前。

修正后的中间件顺序： #

var app = builder.Build();

app.UseSwagger();
app.UseSwaggerUI();
app.UseExceptionHandler();
app.UseStaticFiles(); // 若部署Angular静态文件，需添加此中间件，且在UseCors之前
app.UseRouting();
app.UseCors(); // 必须在UseAuthentication和UseAuthorization之前
app.UseAuthentication();
app.UseAuthorization();
app.UseSerilogRequestLogging();
app.MapOpenApi();
app.MapEndpoints(app.MapGroup("/api")); // 带/api前缀
app.Run();

可能原因5：IIS站点绑定与请求Origin不匹配 #

若远程机器通过服务器IP/域名访问（而非localhost），但IIS站点绑定仅设置了localhost，会导致请求Origin与站点绑定不匹配，IIS可能拦截请求。

解决步骤： #

• 在IIS中编辑站点绑定，添加服务器IP地址或域名作为主机名（或留空允许所有主机）。
• 调整Angular应用的API基地址配置为服务器IP/域名，而非localhost（远程机器无法解析服务器的localhost）。

验证步骤 #

1. 确认API路由前缀正确，Angular调用的/api/auth/login与后端端点路由匹配。
2. 禁用IIS的CORS模块，依赖ASP.NET Core的CORS配置。
3. 给Login端点添加.AllowAnonymous()规则。
4. 用curl模拟带Origin的POST请求，检查响应头是否包含Access-Control-Allow-Origin：

curl -i -X POST http://<mydomain>/api/auth/login \
-H "Origin: http://<your-client-origin>" \
-H "Content-Type: application/json" \
-d '{"username":"test","password":"test"}'

内容的提问来源于stack exchange，提问作者Ayrton Albuquerque