调用API时遭遇CORS问题求助

排查步骤与解决方案 #

1. 修正中间件注册顺序 #

ASP.NET Core中间件执行顺序直接决定CORS头能否正确添加，UseCors必须放在以下位置：

• 在UseRouting之后
• 在UseAuthorization、UseEndpoints（或UseMvc）之前

调整后的代码示例：

var builder = WebApplication.CreateBuilder(args);
var myAllowSpecificOrigins = "_myAllowSpecificOrigins";

// 配置CORS策略
builder.Services.AddCors(options =>
{
    options.AddPolicy(name: myAllowSpecificOrigins,
                      policy =>
                      {
                          policy.AllowAnyOrigin()
                                .AllowAnyHeader()
                                .AllowAnyMethod();
                      });
});

// 注册其他服务（如Controllers）
builder.Services.AddControllers();

var app = builder.Build();

// 严格遵循中间件顺序
app.UseRouting();

// 关键：UseCors必须放在此处
app.UseCors(myAllowSpecificOrigins);

app.UseAuthorization();

app.MapControllers();

app.Run();

2. 移除IIS手动配置的CORS头 #

同时在ASP.NET Core代码和IIS中配置CORS会导致冲突，需统一依赖代码层配置：

• 打开IIS管理器，找到目标API站点
• 进入「HTTP响应头」，删除手动添加的Access-Control-Allow-Origin等CORS相关头

3. 确保预检请求（OPTIONS）被正确处理 #

Axios发起非简单请求（带自定义头、非GET/POST方法、携带凭证）时，浏览器会先发送OPTIONS预检请求，需：

• 确认CORS策略包含AllowAnyMethod()（已覆盖OPTIONS方法）
• 检查IIS「请求筛选」，确保OPTIONS方法未被禁止

4. 注意通配符*的使用限制 #

若Axios请求携带凭证（如设置withCredentials: true），AllowAnyOrigin()（或WithOrigins("*")）会失效，浏览器禁止通配符与凭证共存。此时需：

• 指定具体允许的前端域名，示例：

policy.WithOrigins("https://your-frontend-domain.com")
      .AllowAnyHeader()
      .AllowAnyMethod()
      .AllowCredentials();

• 同时在Axios请求中保持withCredentials: true配置

5. 理解请求类型差异原因 #

浏览器地址栏直接发起的是简单GET请求，不会触发CORS预检，IIS静态头可直接返回；但Axios跨域请求（尤其是带自定义头或非简单方法）会触发预检，若中间件顺序错误或策略配置不当，就会导致CORS头缺失。

内容的提问来源于stack exchange，提问作者sabex