已配置CORS仍被拦截：DataTables调用API为何触发CORS错误？

你的问题核心不是单纯的CORS配置错误，而是未授权的前端跨域请求被API重定向到登录页，而登录页的响应未包含CORS允许的响应头，最终触发浏览器的CORS拦截机制。

后端OnGetAsync能成功调用的原因：

• 服务器端请求不受浏览器CORS策略限制
• 服务器端环境下共享Cookie可正确传递到API

而前端DataTables的AJAX请求是浏览器发起的跨域请求，当请求未携带有效认证凭证时，API会重定向到登录页，但登录页的响应没有Access-Control-Allow-Origin头，导致浏览器抛出CORS错误。

1. 完善共享Cookie的跨域配置 #

修改API的ConfigureApplicationCookie配置，补充跨域所需的Cookie属性：

services.ConfigureApplicationCookie(options =>
{
    options.Cookie.Name = ".MarketManager.SharedCookie";
    options.Cookie.Path = "/";
    // 本地开发允许跨域携带Cookie，生产环境根据实际域名调整
    options.Cookie.SameSite = SameSiteMode.None;
    // 本地用HTTP时设为CookieSecurePolicy.None，HTTPS环境保持Always
    options.Cookie.SecurePolicy = CookieSecurePolicy.None;
    options.Cookie.Domain = "localhost"; // 跨域共享Cookie的统一域名
    options.Cookie.HttpOnly = true; // 保持HttpOnly更安全，无需设为false
});

2. 配置DataTables AJAX请求携带凭证 #

修改DataTables的AJAX配置，添加xhrFields开启跨域Cookie携带：

$(document).ready(function () {
    datatable = $('#dataTable').DataTable({
        ajax: {
            url: 'http://localhost:5122/vendors',
            dataType: 'json',
            dataSrc: '',
            xhrFields: {
                withCredentials: true // 关键：允许跨域请求携带Cookie
            },
            crossDomain: true
        },
        columns: [
            { data: 'id' }
        ]
    })
});

3. 验证API端点的授权配置 #

如果/vendors端点需要认证保护，确保给端点或路由组添加授权要求：

• 单个端点添加授权：

app.MapGet("/", GetAllVendorsAsync).RequireAuthorization();

• 整个路由组添加授权：

app.MapGroup("/vendors")
    .MapVendors()
    .RequireAuthorization();

4. 调整中间件执行顺序 #

确保UseCors在认证、授权中间件之前执行，保证CORS策略覆盖所有请求（包括重定向后的登录页请求）：

var app = builder.Build();

app.UseCors("AllowApiOrigin");

app.UseAuthentication();
app.UseAuthorization();

app.MapGroup("/vendors")
    .MapVendors();

app.Run();

5. 暴露重定向相关响应头（可选） #

如果重定向到登录页时仍有CORS问题，可在CORS策略中暴露Location头：

options.AddPolicy("AllowApiOrigin",
    builder =>
    {
        builder.WithOrigins("http://localhost:5256")
               .AllowAnyHeader()
               .AllowAnyMethod()
               .AllowCredentials()
               .WithExposedHeaders("Location"); // 让浏览器能处理重定向的Location头
    });

1. 登录Razor Pages站点，确认浏览器中存在.MarketManager.SharedCookie
2. 打开浏览器开发者工具，检查DataTables发起的AJAX请求头，确认Cookie字段包含共享Cookie
3. 查看响应，确认不再重定向到登录页，而是返回正常的供应商数据

内容的提问来源于stack exchange，提问作者Trent W