已配置允许源仍遇CORS错误：Angular+ASP.NET Core本地调试问题

• 检查中间件顺序
  .NET7中CORS中间件的位置必须严格遵循：UseRouting → UseCors → UseAuthentication → UseAuthorization → UseEndpoints。如果UseCors在身份验证中间件之后，预检请求会被Windows身份验证拦截直接返回401，进而触发CORS错误。调整Program.cs/Startup.cs中的中间件顺序，确保UseCors在UseAuthentication之前执行。

• 处理OPTIONS预检请求
  浏览器发送的OPTIONS预检请求不会携带Windows身份凭证，因此需要允许匿名访问所有OPTIONS请求。可以通过以下方式配置：

  1. 在Program.cs中添加前置中间件直接处理OPTIONS：

     app.Use(async (context, next) =>
     {
         if (context.Request.Method == "OPTIONS")
         {
             context.Response.StatusCode = StatusCodes.Status200OK;
             await context.Response.WriteAsync(string.Empty);
             return;
         }
         await next();
     });
     

     这段代码要放在UseCors之前。
  2. 或者通过授权策略允许OPTIONS匿名：

     services.AddAuthorization(options =>
     {
         options.AddPolicy("AllowAnonymousOptions", policy =>
             policy.RequireAssertion(context => 
                 context.Request.Method == HttpMethod.Options.Method));
     });
     

     之后在控制器或全局应用该策略。

• 确认Angular请求配置
  由于API启用了AllowCredentials，Angular的HTTP请求必须显式设置withCredentials: true，否则浏览器会拒绝接收响应。可以在单个请求中设置：

  this.http.get('api/endpoint', { withCredentials: true });
  

  或者通过HTTP拦截器全局配置，确保所有请求都携带凭证：

  @Injectable()
  export class CredentialInterceptor implements HttpInterceptor {
    intercept(req: HttpRequest<any>, next: HttpHandler): Observable<HttpEvent<any>> {
      const authReq = req.clone({ withCredentials: true });
      return next.handle(authReq);
    }
  }
  

• 简化CORS策略配置
  你的代码中同时定义了命名策略和直接在UseCors中构建策略，建议统一使用命名策略避免冲突：

  private static readonly string[] _origins = { "http://localhost", "http://localhost:3278", "http://localhost:4200" };
  services.AddCors(options => 
      options.AddPolicy("MyPolicy", builder => 
          builder.WithOrigins(_origins)
                 .AllowAnyHeader()
                 .AllowAnyMethod()
                 .AllowCredentials()));
  // 直接使用命名策略
  app.UseCors("MyPolicy");
  

  同时检查_origins列表是否与Angular实际运行的地址完全一致（包括HTTP/HTTPS协议，比如如果Angular用https://localhost:4200，必须添加到列表中）。

• 检查IIS Express调试配置
  本地调试使用IIS Express时，确保launchSettings.json中正确配置Windows身份验证，同时允许匿名访问（用于处理OPTIONS预检）：

  "iisSettings": {
    "windowsAuthentication": true,
    "anonymousAuthentication": true,
    "iisExpress": {
      "applicationUrl": "http://localhost:5000",
      "sslPort": 44300
    }
  }
  

  另外，在项目属性的“调试”选项卡中，确认已勾选“启用Windows身份验证”，并且“匿名身份验证”设为启用。

• 验证实际请求的Origin
  打开浏览器开发者工具（F12），切换到Network标签，找到触发CORS错误的请求，查看Request Headers中的Origin字段，确认该值是否存在于_origins数组中。如果存在差异（比如端口不同、协议不同），更新_origins列表即可。

• 清除浏览器CORS缓存
  浏览器可能会缓存之前的CORS响应，导致新配置不生效。可以使用隐私窗口测试，或者手动清除浏览器缓存（包括Cookie和站点数据）。

内容的提问来源于stack exchange，提问作者Dominic Shaw