Azure APIM策略片段：能否在choose语句中使用CORS策略？

你遇到的错误源于APIM的策略规则限制：同一策略节（如inbound/outbound）中仅允许存在一个<cors>顶级策略，即便将其放在<choose>的不同分支里也不例外。

基于环境或命名值切换CORS配置完全可行，只需调整策略结构，避免出现多个顶级<cors>元素，以下是两种常用实现方式：

方法1：在<cors>内部嵌入条件判断 #

保留单个顶级<cors>策略，在<allowed-origins>节点内通过<when>分支匹配不同场景的来源：

<cors allow-credentials="false">
    <allowed-origins>
        <when condition="@(context.Deployment.Region == "East US")">
            <origin>https://east-us-app.example.com</origin>
        </when>
        <when condition="@(context.Deployment.Region == "West Europe")">
            <origin>https://we-app.example.com</origin>
        </when>
        <otherwise>
            <origin>https://default-app.example.com</origin>
        </otherwise>
    </allowed-origins>
</cors>

若使用命名值，可直接在<origin>中引用，也可先通过<choose>设置变量再复用：

<choose>
    <when condition="@(context.Deployment.Region == "East US")">
        <set-variable name="AllowedOrigin" value="https://east-us-app.example.com" />
    </when>
    <otherwise>
        <set-variable name="AllowedOrigin" value="https://default-app.example.com" />
    </otherwise>
</choose>
<cors allow-credentials="false">
    <allowed-origins>
        <origin>@((string)context.Variables["AllowedOrigin"])</origin>
    </allowed-origins>
</cors>

方法2：利用命名值预定义多环境配置 #

在APIM命名值中分别配置不同环境的CORS规则（如CorsAllowedOrigins-EastUS、CorsAllowedOrigins-Default），再在策略中根据条件动态选择：

<cors allow-credentials="false">
    <allowed-origins>
        <origin>@(context.Deployment.Region == "East US" ? "{{CorsAllowedOrigins-EastUS}}" : "{{CorsAllowedOrigins-Default}}")</origin>
    </allowed-origins>
</cors>

若需配置多个来源，可将命名值设为逗号分隔的字符串，再通过代码块拆分处理：

<cors allow-credentials="false">
    <allowed-origins>
        @{
            var origins = context.Deployment.Region == "East US" ? "{{CorsAllowedOrigins-EastUS}}" : "{{CorsAllowedOrigins-Default}}";
            foreach(var origin in origins.Split(',')){
                return $"<origin>{origin.Trim()}</origin>";
            }
        }
    </allowed-origins>
</cors>

• 同一策略节内禁止出现多个顶级<cors>元素，无论是否嵌套在<choose>分支中
• 所有条件逻辑需放在<cors>内部，或提前通过<set-variable>设置变量后再引用

内容的提问来源于stack exchange，提问作者Todd Drake