.NET Core 6+Angular对接Azure AD SAML认证遇CORS错误求助

用.NET Core 6搭建的后端API作为SAML2服务提供者(SP)，Azure AD作为身份提供者(IDP)，已实现SAML2 Cookie认证，Swagger测试功能正常，包含Login、AssertionConsumerService、Logout接口。但从localhost:4200的Angular前端发起请求时触发CORS错误。

已尝试的方案：

• 在后端API启用CORS配置
• 在Azure AD SAML配置中正确添加返回URL
• 使用Angular反向代理（仅本地开发有效，无法适配生产多域名/子域名场景）

1. 配置动态CORS策略（适配多域名/子域名） #

在.NET Core 6的Program.cs中，结合配置文件管理合法域名列表，配置支持动态CORS策略：

var allowedOrigins = builder.Configuration.GetSection("AllowedOrigins").Get<string[]>();

builder.Services.AddCors(options =>
{
    options.AddPolicy("DynamicCorsPolicy", policy =>
    {
        policy.WithOrigins(allowedOrigins)
              .AllowAnyHeader()
              .AllowAnyMethod()
              .AllowCredentials(); // 关键：SAML认证依赖Cookie，必须允许凭证传递
    });
});

// 注意：CORS中间件要放在路由中间件之前启用
app.UseCors("DynamicCorsPolicy");

在appsettings.json中维护生产环境允许的域名：

{
  "AllowedOrigins": [
    "https://your-production-domain.com",
    "https://sub1.your-production-domain.com",
    "https://sub2.your-production-domain.com"
  ]
}

2. 完善Azure AD端的CORS与SAML配置 #

• 登录Azure门户，找到对应企业应用，在**SAML配置 > 回复URL(断言使用者服务URL)中确认API的ACS路径正确，同时在Azure AD的企业应用 > 安全性 > 跨域资源共享(CORS)**里，添加所有生产环境的前端域名，允许OPTIONS方法及必要请求头。
• 确保Azure AD中配置的标识符(实体ID)、登录URL与API生产地址完全匹配。

3. 前端请求开启凭证传递 #

在Angular的HTTP请求中设置withCredentials: true，保证认证Cookie能被正确携带到API：

import { HttpClient } from '@angular/common/http';

constructor(private http: HttpClient) {}

callProtectedEndpoint() {
  this.http.get('https://your-api-domain.com/api/protected', { withCredentials: true })
    .subscribe(res => {
      // 处理响应逻辑
    });
}

4. 优化Cookie跨域属性设置 #

生产环境下，必须确保API生成的认证Cookie满足跨域传递要求：

builder.Services.Configure<CookiePolicyOptions>(options =>
{
    options.MinimumSameSitePolicy = SameSiteMode.None;
    options.Secure = CookieSecurePolicy.Always; // 仅HTTPS环境生效，Chrome等浏览器要求SameSite=None的Cookie必须是Secure
});

5. 可选：统一主域名部署（简化跨域配置） #

如果业务允许，将前端和API部署在同一主域名的不同子域名下（如https://app.your-domain.com和https://api.your-domain.com），浏览器同源策略对同主域名的子域名限制更宽松，配合CORS的AllowCredentials配置，能大幅降低跨域问题出现的概率。

内容的提问来源于stack exchange，提问作者Festim Cahani