为何APIMS会引发Socket协商请求的CORS问题？

核心问题本质 #

SignalR类Websocket的协商请求属于带凭证的预检请求，APIMS作为代理层，其CORS配置需与后端App Service严格匹配，且要覆盖协商请求的特殊场景，不能直接沿用后端的通配符配置逻辑。

必须检查的配置项 #

1. APIMS入站CORS策略的细节修正 #

• 放弃通配符*，明确指定客户端域名：当客户端携带凭证（withCredentials: true）时，浏览器禁止Access-Control-Allow-Origin设为通配符，APIMS作为代理必须严格配置允许的具体源。
• 强制启用allowCredentials：在APIMS的CORS策略中勾选“允许凭据”，确保响应头返回Access-Control-Allow-Credentials: true。
• 覆盖必要的请求方法与头：协商请求依赖OPTIONS方法，需确保允许该方法；同时允许SignalR所需的自定义头（如Authorization、X-Requested-With），可直接勾选“允许所有头”避免遗漏。

2. 后端App Service的CORS配置调整 #

• 将APIMS的域名加入后端允许列表：现在请求由APIMS转发至后端，后端需信任APIMS的地址（如https://your-apims-name.azure-api.net），而非原客户端域名。
• 保留Enable Access-Control-Allow-Credentials勾选，但将允许源改为APIMS地址，避免后端返回的CORS头与APIMS的配置冲突。

3. APIMS的Websocket专属配置 #

• 确认Websocket支持开启：在APIMS的API设置中检查“Websocket”选项是否启用（默认开启，需二次确认）。
• 添加协商请求的头覆盖策略：若协商请求路径为/negotiate，可在APIMS入站策略中添加set-header规则，强制覆盖CORS响应头，消除后端头的干扰：

  <inbound>
    <cors allow-credentials="true">
      <allowed-origins>
        <origin>https://your-client-domain.com</origin>
      </allowed-origins>
      <allowed-methods>
        <method>GET</method>
        <method>POST</method>
        <method>OPTIONS</method>
      </allowed-methods>
      <allowed-headers>
        <header>*</header>
      </allowed-headers>
    </cors>
    <set-header name="Access-Control-Allow-Origin" exists-action="override">
      <value>https://your-client-domain.com</value>
    </set-header>
    <set-header name="Access-Control-Allow-Credentials" exists-action="override">
      <value>true</value>
    </set-header>
  </inbound>
  

4. Angular客户端的配置确认 #

• 确保SignalR客户端明确设置withCredentials: true：

  this.hubConnection = new HubConnectionBuilder()
    .withUrl('https://your-apims-domain.com/hub', {
      withCredentials: true
    })
    .build();
  

• 不要在客户端手动设置Access-Control-Allow-Origin头，该头由服务端返回。

验证步骤 #

• 用浏览器开发者工具查看协商请求的响应头：确认Access-Control-Allow-Origin为客户端具体域名，Access-Control-Allow-Credentials为true，且无重复的CORS头（这是常见冲突原因）。
• 直接访问APIMS的协商接口：如GET https://your-apims-domain.com/negotiate，检查返回的CORS头是否符合预期。

内容的提问来源于stack exchange，提问作者Joud_Shaieb