APIMS配置子域名通配符CORS策略报错，App Service可正常配置求助

问题原因 #

APIM的CORS策略对origin格式的校验规则和App Service存在差异：

• App Service支持带协议前缀的通配符格式（如https://*.example.com）
• APIM不允许这种格式，要求origin只能是具体完整URL，或者不带协议的子域名通配符（如*.example.com）

解决方案 #

1. 直接修正origin格式

将你的CORS策略修改为：

<cors>
    <allowed-origins>
        <origin>*.example.com</origin>
    </allowed-origins>
    <!-- 按需添加allowed-methods、allowed-headers等配置 -->
</cors>

修改后APIM就能正常识别该通配符规则，允许所有example.com的子域名发起跨域请求。

2. 限制协议（可选）

如果需要仅允许HTTPS协议的子域名请求，可以结合check-header策略做额外校验，确保请求的Origin头符合要求：

<cors allow-credentials="true">
    <allowed-origins>
        <origin>*.example.com</origin>
    </allowed-origins>
    <allowed-methods preflight-result-max-age="300">
        <method>*</method>
    </allowed-methods>
    <allowed-headers>
        <header>*</header>
    </allowed-headers>
</cors>
<!-- 校验Origin头必须是HTTPS开头的example.com子域名 -->
<check-header name="Origin" failed-check-httpcode="403" failed-check-error-message="Only HTTPS subdomains of example.com are allowed">
    <value>^https://.*\.example\.com$</value>
</check-header>

这个组合策略既让APIM接受合法子域名，又通过正则限制了协议类型，不符合条件的请求会直接返回403。

3. 覆盖原有策略注意事项

如果之前存在全局或产品级的CORS策略，确保你添加的策略优先级更高（比如在API级别添加，或者调整策略执行顺序），避免原有策略覆盖你的配置。

内容的提问来源于stack exchange，提问作者Joud_Shaieb