如何在单个ASP.NET Core端点暴露Location Header，同时保留全局CORS策略的其他暴露Header

这个问题的核心原因是：当你在全局CORS策略中使用WithExposedHeaders时，它会替换默认的可暴露Header集合，而不是追加内容。CORS中间件会在响应处理阶段，根据配置的策略覆盖你在端点中手动设置的Access-Control-Expose-Headers头，导致原来的Location Header不再被包含进去。

下面提供两种可靠的解决方案，你可以根据场景选择：

方案一：为目标端点创建专属CORS策略 #

这种方法最符合ASP.NET Core的CORS设计思路，通过分离策略来实现不同端点的Header暴露需求：

1. 首先在Program.cs（或Startup.cs）中添加一个新的CORS策略，包含全局策略的所有配置，同时额外添加Location Header：

services.AddCors(options => {
    // 全局默认策略
    options.AddDefaultPolicy(builder => {
        builder.WithOrigins(corsConfiguration.Origins);
        builder.WithMethods(corsConfiguration.Methods);
        builder.AllowAnyHeader();
        builder.AllowCredentials();
        builder.WithExposedHeaders(HeaderNames.ContentDisposition);
    });

    // 专为GetCalculations端点设计的策略
    options.AddPolicy("ExposeLocationForCalculations", builder => {
        // 复制全局策略的所有配置
        builder.WithOrigins(corsConfiguration.Origins);
        builder.WithMethods(corsConfiguration.Methods);
        builder.AllowAnyHeader();
        builder.AllowCredentials();
        // 同时暴露全局需要的Content-Disposition和当前端点需要的Location
        builder.WithExposedHeaders(HeaderNames.ContentDisposition, HeaderNames.Location);
    });
});

2. 然后在你的GetCalculations端点上添加[EnableCors]特性，指定这个专属策略：

[HttpGet("{hardwareId}/calculations/")]
[EnableCors("ExposeLocationForCalculations")]
public async Task<ActionResult<CalculationResult>> GetCalculations(string hardwareId) {
    List<CalculationResult> results = await FindCalculationResults(hardwareId);
    if (results != null) {
        return results.Networks;
    } else {
        var resultUri = BuildResultUri(hardwareId);
        // 这里不需要手动设置AccessControlExposeHeaders了，CORS策略会自动处理
        return Accepted(resultUri);
    }
}

这种方案的优势是配置清晰，后续如果全局策略有修改，你只需要同步更新专属策略的对应配置即可，维护性更好。

方案二：在端点中动态合并暴露的Headers #

如果你不想新增额外的CORS策略，可以在端点中手动合并全局策略的暴露Headers和当前需要的Location：

[HttpGet("{hardwareId}/calculations/")]
public async Task<ActionResult<CalculationResult>> GetCalculations(string hardwareId) {
    List<CalculationResult> results = await FindCalculationResults(hardwareId);
    if (results != null) {
        return results.Networks;
    } else {
        var resultUri = BuildResultUri(hardwareId);
        // 合并全局配置的Content-Disposition和当前需要的Location
        var exposedHeaders = $"{HeaderNames.ContentDisposition}, {HeaderNames.Location}";
        Response.Headers.Add(HeaderNames.AccessControlExposeHeaders, exposedHeaders);
        // 注意：如果全局策略后续新增了其他暴露Headers，这里需要同步修改
        return Accepted(resultUri);
    }
}

不过这种方法的缺点是硬编码了全局的暴露Header，后续全局策略修改时容易遗漏，所以更推荐方案一。

内容的提问来源于stack exchange，提问作者Thomas D.