Azure API Management配置CORS允许OPTIONS预检请求：terminate-unmatched-request属性无法保存问题排查

看起来你遇到的核心问题是：手动添加的terminate-unmatched-request="false"属性在保存APIM策略后被自动移除，导致OPTIONS预检请求仍然被终止，返回空的200响应并触发跨域错误。我来帮你梳理下原因和解决办法：

为什么属性会消失？ #

APIM的策略编辑器有两种模式：可视化编辑器和代码视图。如果你是通过可视化界面配置CORS，它会自动过滤掉一些非可视化支持的属性——terminate-unmatched-request就属于这类属性，可视化编辑器不会保留它，只有通过代码视图手动编辑并保存，才能让这个属性生效。

正确的配置步骤 #

1. 登录Azure门户，进入你的APIM实例，找到目标API的策略编辑页面
2. 点击编辑器顶部的**</> 代码视图**按钮，切换到XML代码编辑模式
3. 在<cors>标签上手动添加terminate-unmatched-request="false"属性，确保完整的CORS策略如下：

<cors terminate-unmatched-request="false">
  <allowed-origins>
    <origin>*</origin>
  </allowed-origins>
  <allowed-methods>
    <method>OPTIONS</method>
    <method>POST</method>
  </allowed-methods>
  <allowed-headers>
    <header>*</header>
  </allowed-headers>
</cors>

4. 点击保存按钮，此时属性不会被自动移除

额外的排查建议 #

• 策略顺序检查：确保<cors>策略位于<base />之后（如果有继承父策略的话），避免父策略的CORS设置覆盖你的自定义配置
• 预检请求验证：使用浏览器开发者工具查看OPTIONS请求的头部，确认Origin、Access-Control-Request-Method等字段是否符合你在CORS策略中的允许规则
• 手动处理OPTIONS请求（备选方案）：如果上述方法仍然无效，可以尝试直接在入站策略中手动处理OPTIONS请求，绕过CORS策略的自动终止逻辑：

<inbound>
  <base />
  <choose>
    <when condition="@(context.Request.Method.Equals("OPTIONS", StringComparison.OrdinalIgnoreCase))">
      <return-response>
        <set-status code="200" reason="OK" />
        <set-header name="Access-Control-Allow-Origin" exists-action="override">
          <value>@(context.Request.Headers.GetValueOrDefault("Origin", ""))</value>
        </set-header>
        <set-header name="Access-Control-Allow-Methods" exists-action="override">
          <value>POST, OPTIONS</value>
        </set-header>
        <set-header name="Access-Control-Allow-Headers" exists-action="override">
          <value>*</value>
        </set-header>
      </return-response>
    </when>
  </choose>
  <!-- 保留你的其他入站策略 -->
</inbound>

这种手动处理的方式会直接返回符合CORS要求的响应头，避免APIM自动终止预检请求的问题。

内容的提问来源于stack exchange，提问作者Elliott de Launay