ASP.NET Core 8中PATCH请求遭CORS策略拦截问题求助

问题场景 #

• 编写的PATCH接口在Postman/Swagger中调用正常，但Blazor客户端调用时触发CORS错误，控制台提示：

  Access to fetch at 'http://localhost:5259/SharedServices/Commands/TableName/patch/2bd4e0f3-974a-4794-bb63-b0ce00ba5147' from origin 'http://localhost:5265' has been blocked by CORS policy: Method PATCH is not allowed by Access-Control-Allow-Methods in preflight response.

• 已配置CORS策略，但尝试过允许所有方法/头/源、更换客户端工具（HttpClient/RestSharp/Flurl）、改用PUT请求均无效。

排查与解决步骤 #

1. 确认CORS策略已正确注入请求管道 #

配置AddCors仅完成了服务注册，必须在请求管道中启用该策略，且中间件顺序至关重要：需放在UseRouting之后、UseAuthorization之前。示例代码：

var app = builder.Build();

// 其他中间件配置...
app.UseRouting();

// 必须在此位置启用CORS
app.UseCors("AllowSpecificOrigins");

app.UseAuthorization();
app.UseEndpoints(endpoints =>
{
    endpoints.MapControllers();
});

若顺序错误，CORS头无法正确注入响应，导致预检请求失败。

2. 排查Steeltoe组件的干扰 #

若项目中使用了Steeltoe的服务发现、网关或配置组件，可能会覆盖或修改CORS配置：

• 临时移除Steeltoe相关的服务注册（如AddDiscoveryClient）和中间件（如UseDiscoveryClient），测试CORS是否恢复正常。
• 若移除后正常，需调整Steeltoe配置：确保Steeltoe中间件在UseCors之后执行，或在Steeltoe的配置中明确继承现有CORS策略。

3. 正确处理预检请求（禁止关闭，仅可配置） #

PATCH属于非简单请求，浏览器会自动发送OPTIONS预检请求，无法关闭。需确保API正确响应预检请求，返回合法的CORS头：

• 先放宽CORS配置验证问题：

  builder.Services.AddCors(options =>
  {
      options.AddPolicy("AllowSpecificOrigins",
          builder =>
          {
              builder.WithOrigins("http://localhost:56075", "http://localhost:5265", "https://localhost:7235")
                     .AllowAnyHeader()
                     .AllowAnyMethod();
          });
  });
  

  若此配置生效，再逐步缩小到仅允许所需方法（如WithMethods("PATCH", "PUT")）。

4. 排查其他中间件的拦截 #

自定义中间件、安全中间件（如IdentityServer、OWIN）可能会拦截OPTIONS请求，导致CORS头未正确返回：

• 检查Program.cs中的中间件顺序，确保UseCors在所有可能修改响应头的中间件之前。
• 临时注释非必要中间件，逐一排查是否有组件干扰CORS响应。

5. 验证客户端请求头 #

若Blazor客户端发送了自定义请求头，需在CORS策略中明确允许：

builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowSpecificOrigins",
        builder =>
        {
            builder.WithOrigins("http://localhost:56075", "http://localhost:5265", "https://localhost:7235")
                   .WithHeaders("Content-Type", "X-Custom-Header") // 指定允许的头
                   .WithMethods("PATCH", "PUT");
        });
});

总结 #

绝大多数此类问题源于CORS中间件未正确注入管道或顺序错误，Steeltoe组件可能会干扰配置，但需先确认基础CORS配置的正确性。预检请求无法关闭，仅能通过合法的CORS配置让浏览器认可。

内容的提问来源于stack exchange，提问作者Ben Pierce