如何解决ASP.NET后端与Angular前端连接时的CORS错误？

你的代码结构基本合规，但CORS不生效通常由细节问题引发，按以下步骤逐一排查：

• 确认中间件执行顺序：
  你当前将UseCors放在UseRouting之后、UseAuthorization之前，这个顺序是正确的，但如果项目启用了UseHttpsRedirection，必须确保它在UseCors之前执行，否则重定向过程中可能丢失CORS响应头。

• 前端请求需匹配Credentials配置：
  你的CORS策略设置了AllowCredentials()，对应的Angular请求必须开启withCredentials选项，否则浏览器会拦截响应。示例代码：

  this.http.get('https://your-api-endpoint', { withCredentials: true }).subscribe(res => {
    // 处理响应逻辑
  });
  

• 验证Origin完全匹配：
  确认Angular实际运行地址是http://localhost:4200——如果前端用了HTTPS（地址为https://localhost:4200）或端口变更，就会导致Origin不匹配。可以临时修改CORS策略测试：

  policy.SetIsOriginAllowed(_ => true)
        .AllowAnyHeader()
        .AllowAnyMethod()
        .AllowCredentials();
  

  若修改后生效，说明是Origin配置错误。

• 查看浏览器控制台的具体错误：
  浏览器的CORS错误信息会直接指出问题根源，比如：

  Access to XMLHttpRequest at 'http://api-url' from origin 'http://localhost:4200' has been blocked by CORS policy: Response to preflight request doesn't pass access control check: No 'Access-Control-Allow-Origin' header is present on the requested resource.
  或者
  Access to XMLHttpRequest at 'http://api-url' from origin 'http://localhost:4200' has been blocked by CORS policy: The value of the 'Access-Control-Allow-Origin' header in the response must not be the wildcard '*' when the request's credentials mode is 'include'.

• 检查API响应头是否包含CORS字段：
  用curl或Postman发送OPTIONS预请求，查看响应头是否存在Access-Control-Allow-Origin、Access-Control-Allow-Methods等字段。如果没有，说明CORS中间件未正确执行。

• 尝试控制器级别的CORS配置：
  在控制器上添加[EnableCors("AllowSpecificOrigins")]特性，排除全局中间件配置的问题：

  [EnableCors("AllowSpecificOrigins")]
  [ApiController]
  [Route("api/[controller]")]
  public class UsersController : ControllerBase
  {
      // 控制器业务逻辑
  }
  

最后，如果API部署在反向代理（如IIS、Nginx）之后，需确认代理服务器没有修改或移除CORS响应头，必要时在代理层补充CORS配置。

内容的提问来源于stack exchange，提问作者Pinakss7