ASP.NET Core中SignalR配置CORS后仍允许本地访问的解决方法

问题根源 #

控制台客户端属于非浏览器环境，默认不会发送Origin请求头，服务器的CORS中间件因为检测不到Origin，会直接允许请求通过，这就是你配置了指定URL的CORS策略后，localhost控制台客户端仍能连接的原因。

解决步骤 #

• 给SignalR绑定专属CORS策略并强制Origin验证
  在Program.cs中配置CORS时，要为SignalR单独指定策略，同时显式限制Origin：

  builder.Services.AddCors(options =>
  {
      options.AddPolicy("SignalRCorsPolicy", policy =>
      {
          // 只允许指定域名访问
          policy.WithOrigins("https://your-allowed-domain.com")
                .AllowAnyHeader()
                .AllowAnyMethod()
                .AllowCredentials()
                // 额外拦截localhost的请求
                .SetIsOriginAllowed(origin => !origin.StartsWith("http://localhost") && !origin.StartsWith("https://localhost"));
      });
  });
  
  // 映射Hub时必须指定CORS策略
  app.UseEndpoints(endpoints =>
  {
      endpoints.MapHub<YourHub>("/yourHub").RequireCors("SignalRCorsPolicy");
  });
  

• 让控制台客户端模拟发送Origin头（用于测试验证）
  如果需要让控制台客户端也受CORS限制，手动添加Origin请求头，这样服务器会触发CORS验证：

  var connection = new HubConnectionBuilder()
      .WithUrl("https://your-server-url/yourHub", options =>
      {
          // 模拟浏览器发送的Origin
          options.Headers.Add("Origin", "http://localhost:5000");
      })
      .Build();
  

• Hub内手动验证Origin（双重保障）
  在你的Hub类中重写连接方法，手动检查请求的Origin，不符合就断开连接：

  public override async Task OnConnectedAsync()
  {
      var origin = Context.GetHttpContext().Request.Headers["Origin"].FirstOrDefault();
      // 定义允许的域名列表
      var allowedOrigins = new List<string> { "https://your-allowed-domain.com" };
      
      if (!allowedOrigins.Contains(origin))
      {
          await Context.AbortAsync();
          return;
      }
      
      await base.OnConnectedAsync();
  }
  

内容的提问来源于stack exchange，提问作者Ayesha Iqbal