.NET 6中CORS策略拦截问题：React前端调用API报错无允许源头

问题核心原因 #

你的CORS配置存在两处关键冲突与冗余：

• WithOrigins指定具体源和AllowAnyOrigin允许所有源互斥，同时使用会导致配置逻辑混乱，CORS规则不生效。
• SetIsOriginAllowedToAllowWildcardSubdomains需要配合通配符源（如https://*.example.com）使用，当前配置的是具体域名，该方法无法发挥作用。

修正后的配置方案 #

方案1：仅允许指定的具体源 #

如果只需要放开http://localhost:3000、https://qa.example.com、https://example.com这几个源，修改配置如下：

var MyAllowSpecificOrigins = "_MyAllowSubdomainPolicy";

// 配置CORS
builder.Services.AddCors(options =>
{
    options.AddPolicy(name: MyAllowSpecificOrigins,
                      policy =>
                      {
                          policy.WithOrigins("http://localhost:3000",
                              "https://qa.example.com",
                              "https://example.com")
                          .AllowAnyHeader()
                          .AllowAnyMethod();
                      });
});

方案2：允许example.com所有子域名 #

如果需要放开所有example.com的子域名（包括qa.example.com），可使用通配符配合域名规则：

var MyAllowSpecificOrigins = "_MyAllowSubdomainPolicy";

// 配置CORS
builder.Services.AddCors(options =>
{
    options.AddPolicy(name: MyAllowSpecificOrigins,
                      policy =>
                      {
                          policy.WithOrigins("https://*.example.com", "http://localhost:3000")
                          .AllowAnyHeader()
                          .AllowAnyMethod()
                          .SetIsOriginAllowedToAllowWildcardSubdomains();
                      });
});

额外注意事项 #

1. 中间件顺序：确保app.UseCors(MyAllowSpecificOrigins)放在app.UseRouting()之后、app.UseAuthorization()之前，顺序错误会导致CORS头无法正常返回。
2. 重启服务：修改配置后必须重启.NET 6后端服务，新配置才能生效。
3. 路由排查：确认https://api.example.com/api/Sharepoint路由存在，且未被认证、异常拦截等中间件提前阻断，导致CORS头未被添加。

内容的提问来源于stack exchange，提问作者Sagar Mehta