.NET 6中使用app.UseCors时Access-Control-Allow-Origin头缺失问题

首先明确一个关键点：同源请求不会触发CORS机制。如果你的Swagger UI和API运行在同一域名+端口下（比如都是https://localhost:5001），浏览器会判定为同源请求，不会要求服务器返回Access-Control-Allow-Origin这类CORS响应头，所以你看不到该头是正常现象，并非配置失效。

如果确实是跨域请求（比如前端部署在http://localhost:3000，调用https://localhost:5001的API）时CORS未生效，按以下步骤排查修复：

• 完善CORS策略配置
  你的现有策略仅允许了任意源，但跨域请求通常还需要允许自定义请求头和HTTP方法，否则预检请求会失败。修改CORS配置代码：

  builder.Services.AddCors(options =>
  {
      options.AddPolicy(name: "MyAllowSpecificOrigins", policy =>
      {
          policy.AllowAnyOrigin()
                .AllowAnyHeader()
                .AllowAnyMethod();
      });
  });
  

• 验证中间件顺序
  你的代码中app.UseCors("MyAllowSpecificOrigins")的位置是正确的——必须放在app.UseHttpsRedirection()之后，app.UseAuthorization()和app.MapControllers()之前，这个无需调整。

• 正确测试跨域场景
  不要用同源的Swagger UI测试，改用跨域客户端验证：

  1. 本地启动一个端口不同的前端服务（比如http://localhost:3000），用fetch或axios调用API；
  2. 用Postman等工具发送请求时，手动添加Origin: http://localhost:3000请求头，查看响应头是否包含Access-Control-Allow-Origin: *。

内容的提问来源于stack exchange，提问作者mannok