.NET 6中如何在API启动后动态更新数据库驱动的CORS策略？

完全可以实现运行时动态更新CORS策略，核心是绕过启动时固定配置的静态策略，改用运行时动态获取允许源的逻辑。下面是两种实用的实现方式：

方案一：自定义CORS策略提供器（推荐） #

ASP.NET Core支持通过实现ICorsPolicyProvider接口，让每次请求都实时从数据库获取最新的允许源，天然支持运行时更新。

1. 实现自定义策略提供器 #

public class DynamicCorsPolicyProvider : ICorsPolicyProvider
{
    private readonly IYourDbService _dbService;
    private readonly IMemoryCache _cache;
    private const string CacheKey = "AllowedCorsOrigins";
    private readonly TimeSpan CacheExpiry = TimeSpan.FromMinutes(1); // 缓存1分钟平衡性能与实时性

    public DynamicCorsPolicyProvider(IYourDbService dbService, IMemoryCache cache)
    {
        _dbService = dbService;
        _cache = cache;
    }

    public async Task<CorsPolicy> GetPolicyAsync(HttpContext context, string policyName)
    {
        // 优先从缓存取，缓存过期自动从数据库刷新
        var allowedOrigins = await _cache.GetOrCreateAsync(CacheKey, async entry =>
        {
            entry.AbsoluteExpirationRelativeToNow = CacheExpiry;
            return await _dbService.GetAllowedOriginsAsync();
        });

        var policy = new CorsPolicy();
        policy.AllowAnyHeader();
        policy.AllowAnyMethod();
        policy.WithOrigins(allowedOrigins.ToArray())
              .SetIsOriginAllowedToAllowWildcardSubdomains(); // 支持通配符域名（可选）

        return policy;
    }
}

2. 注册并启用自定义提供器 #

// .NET 6+ Program.cs
builder.Services.AddSingleton<ICorsPolicyProvider, DynamicCorsPolicyProvider>();
builder.Services.AddMemoryCache(); // 注册缓存服务

// 启用CORS中间件（无需指定策略名，自动使用自定义提供器）
app.UseCors();

方案二：缓存+定时器/手动刷新 #

维护一个内存中的允许源列表，通过定时器定期同步数据库，或提供管理员接口手动触发更新，再在CORS策略中校验请求源。

1. 创建单例服务维护允许源 #

public class AllowedOriginsStore
{
    public HashSet<string> Origins { get; private set; } = new HashSet<string>(StringComparer.OrdinalIgnoreCase);

    public async Task RefreshFromDb(IYourDbService dbService)
    {
        var latestOrigins = await dbService.GetAllowedOriginsAsync();
        Origins = new HashSet<string>(latestOrigins, StringComparer.OrdinalIgnoreCase);
    }
}

2. 注册服务并配置自动刷新 #

// .NET 6+ Program.cs
builder.Services.AddSingleton<AllowedOriginsStore>();

var app = builder.Build();

// 启动时初始化一次
var originsStore = app.Services.GetRequiredService<AllowedOriginsStore>();
var dbService = app.Services.GetRequiredService<IYourDbService>();
await originsStore.RefreshFromDb(dbService);

// 每5分钟自动刷新一次
var refreshTimer = new Timer(async _ =>
{
    await originsStore.RefreshFromDb(dbService);
}, null, TimeSpan.Zero, TimeSpan.FromMinutes(5));

// 应用关闭时释放定时器
app.Lifetime.ApplicationStopping.Register(() => refreshTimer.Dispose());

3. 添加手动刷新接口（管理员专用） #

app.MapPost("/admin/refresh-cors", async (AllowedOriginsStore store, IYourDbService dbService) =>
{
    // 此处需添加管理员身份验证逻辑，比如JWT校验
    await store.RefreshFromDb(dbService);
    return Results.Ok("CORS允许源已更新");
});

4. 配置CORS策略使用缓存列表 #

app.UseCors(policy =>
{
    policy.AllowAnyHeader();
    policy.AllowAnyMethod();
    policy.SetIsOriginAllowed(origin =>
    {
        var store = app.Services.GetRequiredService<AllowedOriginsStore>();
        return store.Origins.Contains(origin) || string.IsNullOrEmpty(origin);
    });
});

注意事项 #

• 数据库查询需保证性能，高频场景务必加缓存；
• 通配符域名需额外配置SetIsOriginAllowedToAllowWildcardSubdomains或自定义匹配逻辑；
• 管理员刷新接口必须加严格的身份验证，防止恶意调用；
• 多实例部署时，建议用分布式缓存（如Redis）同步允许源，避免实例间数据不一致。

内容的提问来源于stack exchange，提问作者LPQ