ASP.NET Core配置允许任意源仍出现CORS错误求助

以下是针对你配置CORS后仍出现错误的排查和修复步骤：

1. 检查CORS中间件的注册顺序 #

CORS中间件的位置至关重要，必须确保它在路由中间件之后、授权和其他请求处理中间件之前注册。正确的Program.cs顺序示例：

var builder = WebApplication.CreateBuilder(args);

// 注册CORS服务
builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowAll", policy =>
    {
        policy.AllowAnyOrigin()
              .AllowAnyMethod()
              .AllowAnyHeader();
    });
});

builder.Services.AddControllers();

var app = builder.Build();

// 中间件执行顺序
app.UseHttpsRedirection();

// CORS中间件必须放在UseRouting之后，UseAuthorization之前
app.UseCors("AllowAll");

app.UseRouting();

app.UseAuthorization();

app.MapControllers();

app.Run();

2. 移除冗余的SetIsOriginAllowedToAllowWildcardSubdomains() #

SetIsOriginAllowedToAllowWildcardSubdomains()仅适用于WithOrigins("https://*.yourdomain.com")这类带通配符的特定源规则。你已经使用AllowAnyOrigin()允许所有源，该配置不仅无效，还可能导致浏览器解析CORS规则时出现冲突，直接移除即可。

3. 检查凭据传递相关配置 #

如果你的Angular请求需要携带Cookie、HTTP认证信息等凭据（即设置了withCredentials: true），必须在CORS策略中添加AllowCredentials()：

policy.AllowAnyOrigin()
      .AllowAnyMethod()
      .AllowAnyHeader()
      .AllowCredentials();

注意：当使用AllowCredentials()时，浏览器不允许Access-Control-Allow-Origin设为*，此时你需要明确指定允许的源，示例：

policy.WithOrigins("https://your-angular-app-domain.com")
      .AllowAnyMethod()
      .AllowAnyHeader()
      .AllowCredentials();

4. 确认Angular端请求配置 #

• 检查Angular的HttpClient请求是否错误修改了请求头，或者拦截器干扰了预检请求；
• 如果需要传递凭据，需在请求中显式设置：

this.http.get('your-api-url', { withCredentials: true });

5. 排查预检请求是否被拦截 #

部分自定义中间件（如日志、异常处理中间件）可能会提前拦截OPTIONS预检请求，导致CORS中间件无法处理。检查Program.cs中UseCors()之前注册的中间件，确保它们放行OPTIONS请求。

6. 清除浏览器缓存 #

浏览器可能缓存了旧的CORS响应头，导致新配置不生效。可通过强制刷新（Ctrl+F5）或清除浏览器缓存验证。

内容的提问来源于stack exchange，提问作者Shankar Naru