微服务架构下带Bearer令牌请求出现CORS跨域问题求助

当请求携带Bearer令牌时，浏览器会先发送OPTIONS预检请求——如果认证中间件在CORS中间件之前执行，预检请求因无令牌触发认证失败，会导致CORS头无法正常返回，最终引发跨域错误。另外你当前的CORS配置虽设了AllowAnyOrigin，但认证流程的执行顺序直接影响了响应头的输出逻辑。

1. 调整中间件顺序，让CORS优先执行 #

在Contractors服务的Program.cs里，必须保证UseCors在UseAuthentication和UseAuthorization之前运行，这样哪怕是无令牌的预检请求，CORS中间件也能先处理并返回正确的跨域头。

修改后的中间件顺序示例：

// 先启用CORS
app.UseCors(x => x.AllowAnyHeader().AllowAnyMethod().AllowAnyOrigin());

// 再启用认证与授权
app.UseAuthentication();
app.UseAuthorization();

// 最后映射接口端点
app.MapControllers();

2. 让预检请求跳过认证流程 #

配置JWT认证的事件处理，直接放行OPTIONS请求——因为预检请求本身不需要携带令牌，也不需要走授权逻辑。

修改AddJwtBearer的配置：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.Authority = "https://localhost:5001";
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateAudience = false
        };
        options.IncludeErrorDetails = true;

        // 添加事件处理，跳过OPTIONS请求的认证
        options.Events = new JwtBearerEvents
        {
            OnMessageReceived = context =>
            {
                if (context.Request.Method == HttpMethod.Options.Method)
                {
                    context.Response.StatusCode = StatusCodes.Status200OK;
                    context.HandleResponse();
                }
                return Task.CompletedTask;
            }
        };
    });

3. 生产环境优化CORS配置（可选） #

不要用AllowAnyOrigin这种宽松配置，指定具体的前端域名更安全：

app.UseCors(x => x.AllowAnyHeader().AllowAnyMethod().WithOrigins("https://localhost:4200"));

1. 重启Contractors服务，按上述配置调整后，用前端携带Bearer令牌请求测试接口。
2. 打开浏览器开发者工具的网络面板，检查OPTIONS请求的响应头是否包含Access-Control-Allow-Origin。
3. 验证授权功能：用无效令牌请求时返回401，有效令牌能正常访问接口。

内容的提问来源于stack exchange，提问作者user23464719