ASP.NET Core配置CORS后OPTIONS正常但POST请求遭浏览器拦截

下面是几种常见的导致该问题的原因：

• 中间件顺序错误
  ASP.NET Core中间件的执行顺序直接影响CORS头的添加。UseCors必须放在UseRouting之后、UseAuthorization和UseEndpoints（或UseControllers）之前。如果顺序颠倒，比如UseCors在UseAuthorization之后，当请求触发授权校验提前返回响应时，CORS中间件还未执行，自然不会在响应中添加Access-Control-Allow-Origin头。

• 请求被其他中间件提前终止
  如果POST请求在到达CORS中间件之前，被身份验证、路由匹配或自定义中间件拦截并返回响应（比如404、401错误），这些响应不会经过CORS中间件处理，因此缺少CORS头，浏览器会判定为跨域拦截。

• 凭据请求与AllowAnyOrigin()冲突
  若前端请求设置了credentials: include（携带Cookie、HTTP认证信息等），浏览器会禁止使用Access-Control-Allow-Origin: *的配置。此时即使预检请求成功，实际POST请求会被浏览器拦截，报错信息可能伪装成“缺少CORS头”。这种场景需要将AllowAnyOrigin()替换为WithOrigins("你的前端域名")，同时添加.AllowCredentials()配置。

• 反向代理/负载均衡器修改响应头
  如果应用部署在反向代理（如Nginx、IIS）或云负载均衡之后，代理可能会覆盖或移除ASP.NET Core返回的Access-Control-Allow-Origin头。比如代理自身配置了CORS规则，导致后端返回的头被覆盖，或者代理未正确传递响应头。

• 特殊请求内容类型的额外处理
  虽然你配置了AllowAnyHeader()，但如果POST请求的Content-Type是multipart/form-data或自定义非标准类型，部分中间件可能会提前处理请求并返回无CORS头的响应。可以检查是否有针对特定内容类型的拦截逻辑。

内容的提问来源于stack exchange，提问作者eddyP23