ASP Classic跨域CORS配置异常：已设Header仍报缺失错误

刚接触CORS，存在认知盲区。本地环境中尝试不同端口跨域请求：localhost1与localhost2（均为React/.Net C#架构）跨域正常；但localhost2与ASP Classic架构的localhost3跨域时，始终出现Access-Control-Allow-Origin头相关错误。

Chrome开发者工具显示已配置Header但仍报缺失错误，请问遗漏了什么配置？该如何解决？

备注：知晓使用*存在安全风险，仅用于测试。

接收POST请求的ASP Classic代码 #

<%
Response.AddHeader "Access-Control-Allow-Origin", "*"
Response.AddHeader "Access-Control-Allow-Methods", "POST, OPTIONS"
Response.AddHeader "Access-Control-Allow-Headers", "Content-Type"
Response.AddHeader "Access-Control-Allow-Credentials", "true"

If Request.ServerVariables("REQUEST_METHOD") = "OPTIONS" then
    ' Handling preflight request
    Response.AddHeader "Access-Control-Allow-Origin", "*"
    Response.AddHeader "Access-Control-Allow-Methods", "POST, OPTIONS"
    Response.AddHeader "Access-Control-Allow-Headers", "Content-Type"
    Response.AddHeader "Access-Control-Allow-Credentials", "true"
    Response.Status = 200
    Response.End
End If

' Check if it's a POST request
If Request.ServerVariables("REQUEST_METHOD") = "POST" Then
    Dim requestData, id1
    
    On Error Resume Next
    Set requestData = JSONParse(Request.Form("data")) ' Assuming "data" is the key where JSON is sent
    On Error Goto 0 ' Re-enable default error handling
    
    If Err.Number <> 0 Then
        ' Handle JSON parsing errors
        Response.Status = 400 ' Bad Request
        Response.Write "Error while parsing JSON: " & Err.Description
        Response.End
    End If
    
    id1 = requestData("id1")
    
    If id1 = "" Or Not IsNumeric(id1) Then
        ' Invalid or missing data in the JSON payload
        Response.Status = 400 ' Bad Request
        Response.Write "Invalid or missing ID data"
        Response.End
    Else
        ' Respond with a confirmation message
        Response.AddHeader "Content-Type", "application/json" ' Set appropriate Content-Type
        Response.Write "{ ""message"": ""Received the data successfully"" }" ' Respond with JSON confirming data receipt
        Response.End
    End If
Else
    ' Handling non-POST requests
    Response.Status = 405 ' Method Not Allowed
    Response.Write "Only POST requests are allowed"
    Response.End
End If
%>

• 核心冲突：Access-Control-Allow-Origin: *与Access-Control-Allow-Credentials: true不能共存
  当设置Allow-Credentials: true时，Allow-Origin不能使用通配符*，必须指定具体的请求源（比如http://localhost:3000）。浏览器会直接忽略同时包含这两个配置的响应，导致出现"缺失Access-Control-Allow-Origin头"的错误。

• 修复步骤：

  1. 替换通配符为具体请求源
     把代码中所有Response.AddHeader "Access-Control-Allow-Origin", "*"替换为localhost2的实际地址，示例：

     Response.AddHeader "Access-Control-Allow-Origin", "http://localhost:3000"
     

     注意要和前端请求的源完全一致，包括协议、域名、端口。

  2. 动态获取请求源（推荐测试环境使用）
     通过Request.ServerVariables("HTTP_ORIGIN")自动获取请求源，避免硬编码，替换固定*的配置：

     Dim allowedOrigin
     allowedOrigin = Request.ServerVariables("HTTP_ORIGIN")
     ' 测试环境直接返回请求源，生产环境需添加白名单验证逻辑
     If allowedOrigin <> "" Then
         Response.AddHeader "Access-Control-Allow-Origin", allowedOrigin
     End If
     

     同时可精简代码中重复添加的Header。

  3. 开启响应缓冲避免意外输出
     在代码最顶部添加Response.Buffer = True，确保Header在内容输出前被正确设置，避免因提前输出空格、注释导致Header失效：

     <%
     Response.Buffer = True
     %>
     

• 额外排查点：

  • 若前端请求未携带凭证（如Cookie），可直接删除Access-Control-Allow-Credentials: true配置，此时可继续使用*作为允许源。
  • 查看Chrome开发者工具"网络"面板，检查OPTIONS和POST请求的响应Header，确认实际返回的Header是否符合预期（部分服务器全局配置可能覆盖ASP代码设置的Header）。

内容的提问来源于stack exchange，提问作者SpencerAl