如何在ASP.NET Core中配置跨域？需在中间件使用AddScoped服务

针对你提到的令牌任务场景（每个请求IP不同，需动态调用WithOrigins），同时要在中间件中使用Scoped服务，以下是可行的实现方案：

一、核心问题说明 #

中间件默认是单例生命周期，不能直接注入Scoped服务（会导致服务生命周期不匹配）；同时CORS策略通常是启动时静态配置的，需要改为请求级动态配置才能适配不同IP对应的Origin。

二、方案1：使用强类型中间件（IMiddleware） #

强类型中间件本身支持Scoped生命周期，可以直接注入Scoped服务，同时在请求处理时动态生成CORS策略。

1. 注册Scoped业务服务 #

假设你有一个根据IP获取允许Origin的Scoped服务：

public interface ITokenOriginService
{
    Task<string> GetAllowedOriginForIpAsync(string clientIp);
}

public class TokenOriginService : ITokenOriginService
{
    // 这里实现根据IP查询对应允许Origin的业务逻辑，比如从数据库/缓存获取
    public async Task<string> GetAllowedOriginForIpAsync(string clientIp)
    {
        // 示例逻辑：根据IP返回对应的Origin
        return clientIp switch
        {
            "192.168.1.100" => "https://client-a.example.com",
            "192.168.1.101" => "https://client-b.example.com",
            _ => "https://default.example.com"
        };
    }
}

// 在Startup/Program.cs中注册
services.AddScoped<ITokenOriginService, TokenOriginService>();

2. 实现强类型中间件 #

public class DynamicCorsMiddleware : IMiddleware
{
    private readonly ITokenOriginService _tokenOriginService;
    private readonly CorsPolicy _baseCorsPolicy;

    public DynamicCorsMiddleware(ITokenOriginService tokenOriginService)
    {
        _tokenOriginService = tokenOriginService;
        // 初始化基础CORS规则（允许的方法、头等）
        _baseCorsPolicy = new CorsPolicy
        {
            AllowAnyHeader = true,
            AllowAnyMethod = true,
            SupportsCredentials = true
        };
    }

    public async Task InvokeAsync(HttpContext context, RequestDelegate next)
    {
        // 获取客户端IP（注意反向代理场景需配置ForwardedHeaders）
        var clientIp = context.Connection.RemoteIpAddress?.ToString();
        
        // 调用Scoped服务获取当前IP对应的允许Origin
        var allowedOrigin = await _tokenOriginService.GetAllowedOriginForIpAsync(clientIp);
        
        if (!string.IsNullOrWhiteSpace(allowedOrigin))
        {
            // 动态更新CORS策略的Origin列表
            _baseCorsPolicy.Origins.Clear();
            _baseCorsPolicy.Origins.Add(allowedOrigin);
            
            // 应用CORS策略到当前请求
            var corsService = context.RequestServices.GetRequiredService<ICorsService>();
            var corsResult = await corsService.EvaluatePolicyAsync(context, _baseCorsPolicy);
            await corsService.ApplyResultAsync(context, corsResult);
        }

        // 继续执行后续管道
        await next(context);
    }
}

// 注册中间件（Transient生命周期）
services.AddTransient<DynamicCorsMiddleware>();

3. 在管道中启用中间件 #

确保中间件放在UseRouting之后、UseAuthorization之前：

app.UseRouting();

// 启用动态CORS中间件
app.UseMiddleware<DynamicCorsMiddleware>();

app.UseAuthorization();
// ...其他中间件

三、方案2：自定义CORS策略提供器 #

通过实现ICorsPolicyProvider，在策略获取阶段动态调用Scoped服务生成对应策略。

1. 实现自定义策略提供器 #

public class DynamicCorsPolicyProvider : ICorsPolicyProvider
{
    private readonly IServiceScopeFactory _scopeFactory;

    public DynamicCorsPolicyProvider(IServiceScopeFactory scopeFactory)
    {
        _scopeFactory = scopeFactory;
    }

    public async Task<CorsPolicy> GetPolicyAsync(HttpContext context, string policyName)
    {
        // 创建临时作用域以获取Scoped服务
        using var scope = _scopeFactory.CreateScope();
        var tokenOriginService = scope.ServiceProvider.GetRequiredService<ITokenOriginService>();
        
        var clientIp = context.Connection.RemoteIpAddress?.ToString();
        var allowedOrigin = await tokenOriginService.GetAllowedOriginForIpAsync(clientIp);

        return new CorsPolicy
        {
            AllowAnyHeader = true,
            AllowAnyMethod = true,
            SupportsCredentials = true,
            Origins = { allowedOrigin ?? "https://default.example.com" }
        };
    }
}

// 注册自定义提供器和CORS服务
services.AddSingleton<ICorsPolicyProvider, DynamicCorsPolicyProvider>();
services.AddCors();

2. 在管道中启用CORS #

app.UseRouting();

// 直接使用UseCors，会自动调用自定义策略提供器
app.UseCors();

app.UseAuthorization();
// ...其他中间件

关键注意事项 #

• IP获取准确性：如果部署在反向代理（如Nginx、IIS）之后，需要配置ForwardedHeaders中间件以获取真实客户端IP：

  app.UseForwardedHeaders(new ForwardedHeadersOptions
  {
      ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto
  });
  

• Origin合法性：确保返回的Origin是完整的URL（包含http/https），否则会触发CORS错误。
• 线程安全：Scoped服务每个请求实例独立，无需担心线程安全；但如果业务服务依赖共享资源，需自行处理同步逻辑。

内容的提问来源于stack exchange，提问作者Reza Yousefi