API为子域名、SPA为主域名时CORS不生效问题咨询

问题根源 #

你的CORS失效和SPA是主域名、API是子域名的关系不大，核心问题出在通配符域名与AllowCredentials()的冲突：

1. CORS规范明确要求：当开启AllowCredentials()时，Access-Control-Allow-Origin不能使用通配符（包括*.mydomain.com这类通配符子域名），浏览器会直接拦截这种不符合规范的响应。
2. SetIsOriginAllowedToAllowWildcardSubdomains()无法绕过这个规范限制，只要搭配AllowCredentials()，通配符域名的配置就不生效。

修正方案 #

方案1：指定具体SPA域名（推荐） #

直接把SPA的完整域名加入WithOrigins，避开通配符：

builder.Services.AddCors(opt =>
{
    opt.AddPolicy(policy, builder =>
    {
        builder
        .WithOrigins(new string[]
        {
            "http://dev.mydomain.com", // 明确指定SPA域名
            "http://localhost:4200",
        })
        .AllowAnyHeader()        
        .AllowAnyMethod()
        .AllowCredentials();
    });
});

方案2：动态验证域名（多子域名场景适用） #

如果需要支持多个子域名，改用SetIsOriginAllowed动态校验，确保返回具体来源而非通配符：

builder.Services.AddCors(opt =>
{
    opt.AddPolicy(policy, builder =>
    {
        builder
        .SetIsOriginAllowed(origin => 
        {
            // 校验请求来源是否属于mydomain.com子域名或本地开发地址
            return origin.EndsWith(".mydomain.com") || origin == "http://localhost:4200";
        })
        .AllowAnyHeader()        
        .AllowAnyMethod()
        .AllowCredentials();
    });
});

额外检查点 #

• 你的代码中UseCors()的调用顺序是正确的（在UseAuthentication()之前），这点无需调整。
• 前端请求如果需要携带凭证（比如Cookie），必须在请求中设置withCredentials: true（比如Angular的HttpClient要配置{ withCredentials: true }）。

内容的提问来源于stack exchange，提问作者homerio