如何解决网页调用.NET 8 Web API时的No 'Access-Control-Allow-Origin' CORS错误？

首先纠正一个笔误：你提到的.NET Framework 8.0实际应为.NET 8（.NET Framework最高版本为4.8）。针对你遇到的CORS报错，以下是精准排查和解决步骤：

1. 修正AllowAnyOrigin方法拼写错误 #

你尝试允许任意源时使用了AllowAnyOrigins()（复数），但.NET的正确方法是单数形式AllowAnyOrigin()，复数方法不存在，导致配置未生效。修正后的代码：

builder.Services.AddCors(options =>
{
    options.AddDefaultPolicy(policy =>
    {
        policy.AllowAnyOrigin()
              .AllowAnyMethod()
              .AllowAnyHeader();
    });
});

2. 确保Origin地址精确匹配 #

使用WithOrigins时，必须传入完整且精确的源地址，包括协议（http/https）、域名和端口，不能省略协议或添加多余斜杠：

• 正确示例："http://localhost:3000"
• 错误示例："localhost:3000"（缺协议）、"http://localhost:3000/"（多结尾斜杠）

修正后的默认策略配置：

builder.Services.AddCors(options =>
{
    options.AddDefaultPolicy(policy =>
    {
        policy.WithOrigins("http://your-webpage-address:port", "http://your-api-address:port")
              .AllowAnyMethod()
              .AllowAnyHeader();
    });
});

3. 确认中间件顺序正确 #

UseCors必须放在UseAuthorization之前、UseSwaggerUI之后，确保CORS头在授权逻辑前被添加。你的现有代码顺序是正确的，但再次确认：

if (app.Environment.IsDevelopment())
{
    app.UseSwagger();
    app.UseSwaggerUI();
}

// 必须在UseAuthorization之前
app.UseCors();

app.UseAuthorization();

app.MapControllers();

4. 排查反向代理或服务器配置冲突 #

如果API部署在IIS、Nginx等反向代理后，代理服务器可能会覆盖或拦截CORS响应头：

• IIS：检查web.config是否有<httpProtocol>下的自定义头配置，避免与API的CORS设置冲突
• Nginx：确保配置中没有手动添加Access-Control-Allow-Origin头，让API自行处理

5. 命名策略的正确使用 #

若使用命名策略，需在UseCors中明确指定策略名称，而非调用无参方法：

// 注册命名策略
builder.Services.AddCors(options =>
{
    options.AddPolicy("MyCorsPolicy", policy =>
    {
        policy.WithOrigins("http://your-webpage-address:port")
              .AllowAnyMethod()
              .AllowAnyHeader();
    });
});

// 启用时指定策略名
app.UseCors("MyCorsPolicy");

内容的提问来源于stack exchange，提问作者user19961587