ASP.NET Core Web API通过Swagger重定向外部网站遇CORS问题求助

问题本质 #

你遇到的错误核心是浏览器CORS安全政策限制：Swagger UI运行在http://localhost:5278，当API重定向到谷歌时，浏览器会检查谷歌返回的响应是否包含允许localhost:5278的Access-Control-Allow-Origin头——显然谷歌不会配置这个，因此请求被拦截。

可行解决方案 #

方案一：让Swagger UI以no-cors模式发起请求

通过修改Swagger配置，给特定接口的请求添加no-cors模式，绕过CORS检查（但无法获取响应内容）：

1. 在Program.cs中配置Swagger UI时注入自定义脚本：

builder.Services.AddSwaggerGen();

// 其他中间件配置...

app.UseSwaggerUI(options =>
{
    options.SwaggerEndpoint("/swagger/v1/swagger.json", "v1");
    options.RoutePrefix = string.Empty;
    // 注入自定义JS文件
    options.InjectJavascript("/swagger-custom.js");
});

2. 在项目的wwwroot目录下创建swagger-custom.js，内容如下：

window.addEventListener('load', function() {
    const originalFetch = window.fetch;
    window.fetch = function(resource, options) {
        // 针对WeatherForecast接口修改请求模式
        if (resource.includes('/WeatherForecast')) {
            options = options || {};
            options.mode = 'no-cors';
        }
        return originalFetch(resource, options);
    };
});

注意：这种方式下Swagger UI无法获取重定向后的响应内容，但不会再抛出CORS错误，实际重定向会在浏览器后台发生。

方案二：API返回跳转指令，由Swagger UI前端处理跳转

放弃API直接重定向，改为返回跳转URL，让浏览器直接跳转（无CORS限制）：

1. 修改API Action代码：

[HttpGet(Name = "GetWeatherForecast")]
public IActionResult Get()
{
    return Ok(new { redirectUrl = "https://www.google.com/" });
}

2. 更新swagger-custom.js，监听请求响应并执行跳转：

window.addEventListener('load', function() {
    const ui = window.ui;
    ui.getModel().then(function(model) {
        // 监听Swagger的请求响应事件
        model.on('response', function(response) {
            if (response.url.includes('/WeatherForecast') && response.body) {
                try {
                    const data = JSON.parse(response.body);
                    if (data.redirectUrl) {
                        // 浏览器直接跳转，无CORS限制
                        window.location.href = data.redirectUrl;
                    }
                } catch (e) {
                    console.error('解析跳转URL失败:', e);
                }
            }
        });
    });
});

这个方案体验更友好，完全避开CORS问题，且能正常完成跳转。

关键说明 #

你无法通过在ASP.NET Core中配置CORS解决这个问题——CORS配置只作用于你的API本身，重定向后的外部网站（如谷歌）不会为你的localhost域名添加CORS允许头，因此必须通过前端层面的方式绕过或规避。

内容的提问来源于stack exchange，提问作者Saeid Mirzaei