.NET网站集成Opayo支付时遭遇CORS错误求助

核心问题定位 #

CORS错误本质是浏览器同源策略的限制，手动关闭CORS可正常支付说明支付流程本身逻辑无问题，问题出在跨域请求的响应头配置不匹配上。

排查与修复步骤 #

1. 检查我方.NET后端的CORS配置 #

• 针对.NET Core，查看Startup.cs；针对.NET Framework，查看Global.asax中的CORS规则，确保已将Opayo支付相关域名加入允许列表，而非仅放行我方前端域名。
• 示例（.NET Core）：

  builder.Services.AddCors(options =>
  {
      options.AddPolicy("OpayoPaymentPolicy",
          policy => policy.WithOrigins("https://pay.opayo.com") // 替换为实际Opayo支付域名
                          .AllowAnyHeader()
                          .AllowAnyMethod());
  });
  

• 注意：若Opayo使用动态子域名，需配置对应通配符或提前确认所有可能的域名。

2. 验证Opayo侧的响应头配置 #

• 打开浏览器开发者工具的Network面板，查看支付提交后Opayo返回的响应头，确认是否包含Access-Control-Allow-Origin，且值匹配我方前端域名（生产环境不建议用*）。
• 若Opayo未返回正确的CORS响应头，需向对方提供我方前端域名、请求方法等具体信息，要求其配置对应规则。

3. 排查前端请求类型 #

• 确认前端是否使用了自定义请求头或非简单请求（如PUT、PATCH），这类请求会触发浏览器的预检OPTIONS请求，需要我方后端和Opayo侧都支持OPTIONS方法的跨域放行。
• 确保我方后端能正确处理OPTIONS请求，同时要求Opayo侧允许OPTIONS方法的跨域访问。

4. 临时替代方案：后端代理转发 #

• 若双方配置协调困难，可在我方.NET后端搭建代理层：前端将支付请求发给我方后端，再由后端转发给Opayo。通过同源请求避免CORS限制。
• 示例（.NET Core控制器）：

  [HttpPost]
  public async Task<IActionResult> ProxyOpayoPayment([FromBody] PaymentRequest request)
  {
      using var httpClient = new HttpClient();
      var response = await httpClient.PostAsJsonAsync("https://pay.opayo.com/api/payment", request);
      var content = await response.Content.ReadAsStringAsync();
      return Content(content, response.Content.Headers.ContentType?.MediaType);
  }
  

关键结论 #

• 手动关闭CORS可正常支付，说明业务逻辑无问题，CORS配置的缺失或不匹配是核心原因。
• 需同时排查双方的CORS规则：我方要放行Opayo的域名，Opayo要放行我方前端域名，且确保预检请求被支持。

内容的提问来源于stack exchange，提问作者chrissmash