使用Private Link连接App Service跨应用时遇CORS问题求助

问题核心 #

前端公网可访问，后端通过专用终结点屏蔽公网，二者处于同一Linux B2应用服务计划。SCM站点curl调用后端正常，但浏览器端触发CORS 403错误，提示缺少Access-Control-Allow-Origin头，切换至privatelink域名调用也无效。

针对性解决步骤 #

1. 后端代码手动配置CORS（关键） #

Azure App Service的内置CORS配置仅对公网请求生效，通过专用终结点的内网请求不会触发该规则，必须在.NET 7代码中显式配置CORS中间件：

// Program.cs 中添加
builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowAllOrigins", policy =>
    {
        policy.AllowAnyOrigin()
              .AllowAnyMethod()
              .AllowAnyHeader();
    });
});

// 注意中间件顺序，必须放在 UseRouting 之后、UseAuthorization 之前
app.UseCors("AllowAllOrigins");

2. 验证专用终结点的请求链路 #

• 在前端SCM站点执行nslookup backend-dev.privatelink.azurewebsites.net，确认解析结果为后端专用终结点的内网IP
• 检查前端子网的Web Farms委派配置，确保Microsoft.Web服务能正常通过专用链接路由请求

3. 检查预检请求处理 #

• 后端若存在自定义中间件或路由规则，需确保不拦截OPTIONS预检请求
• 在后端添加日志，记录OPTIONS请求的Origin头和请求路径，确认请求是否正常到达服务

4. 确认访问限制规则 #

• 进入后端应用服务的「网络」-「访问限制」，添加前端所在子网的允许规则（即使同一应用服务计划，专用终结点下仍需显式配置）
• 验证后端的「专用终结点」配置，确保已关联正确的子网

5. 用Postman验证跨域响应 #

• 在Postman中调用后端privatelink域名，手动添加Origin头（值为前端公网域名）
• 检查响应头是否包含Access-Control-Allow-Origin，若返回正常则说明问题出在浏览器端的规则适配，可尝试将CORS策略中的AllowAnyOrigin()替换为指定前端域名：

  policy.WithOrigins("https://your-frontend-domain.azurewebsites.net")
        .AllowAnyMethod()
        .AllowAnyHeader();
  

内容的提问来源于stack exchange，提问作者Madie