Azure API Management限制CORS策略未生效，任意源请求均被放行

核心原因及细节 #

• terminate-unmatched-request="true"仅拦截OPTIONS预检请求
  APIM的CORS策略中，该配置只对OPTIONS类型的预检请求生效：当OPTIONS请求的Origin不在允许列表时，会直接终止请求。但对于GET/POST这类简单请求，即便Origin不合法，APIM不会终止请求，只是不会在响应中添加Access-Control-Allow-Origin等CORS头。命令行、Postman这类工具不会像浏览器一样强制校验CORS响应头，所以会显示请求“成功”；而浏览器实际会拦截前端的响应，但后端仍会收到请求。

• APIM测试控制台无默认Origin头
  APIM自带的测试控制台发起请求时，默认不会携带Origin请求头。CORS策略仅处理带有Origin头的请求，所以这类请求会直接放行，不会触发验证逻辑。

• 内部模式的VNet信任特性
  当APIM部署为内部模式（仅允许VNet内访问）时，对于来自VNet内部的请求，APIM会默认信任，跳过部分CORS校验逻辑。你的所有测试请求可能都来自VNet内部，导致CORS策略未按预期拦截。

• 策略配置冲突或执行顺序问题
  若存在操作级别的策略覆盖了API/全局级别的CORS配置，或者在CORS策略之前有其他策略修改了Origin请求头，都会导致CORS验证失效。

验证方法 #

• 测试OPTIONS请求：用Postman发送OPTIONS请求，手动添加Origin: https://disallowed头，此时应该收到4xx的拦截响应，验证terminate-unmatched-request是否生效。
• 确认请求头：检查所有测试请求是否确实携带了正确的Origin头，没有被代理或其他策略篡改。
• 查看策略执行日志：开启APIM的日志功能，追踪请求的策略执行流程，确认CORS策略是否被正确触发。

内容的提问来源于stack exchange，提问作者OldDusty