跨域请求遭CORS策略拦截，无法接收.NET Core API返回的成功消息

问题本质 #

你的API能接收请求但返回时缺少Access-Control-Allow-Origin响应头，导致前端被浏览器的CORS策略拦截，无法读取返回结果。这是因为.NET Core的CORS配置未正确覆盖响应阶段的头信息。

修复步骤 #

1. 全局配置CORS服务（Program.cs） #

在项目的Program.cs中添加CORS服务并启用对应的策略，注意中间件顺序：

var builder = WebApplication.CreateBuilder(args);

// 注册CORS服务，指定允许的前端域名
builder.Services.AddCors(options =>
{
    options.AddPolicy("CarServiceFrontend", policy =>
    {
        // 替换为你的前端实际访问地址，比如http://localhost:8080
        policy.WithOrigins("http://localhost:8080")
              .AllowAnyHeader()
              .AllowAnyMethod()
              .AllowCredentials(); // 若前端请求带Cookie或认证信息则添加
    });
});

// 注册控制器服务
builder.Services.AddControllers();

var app = builder.Build();

// 中间件顺序：CORS必须放在UseRouting之后，UseAuthorization之前
app.UseRouting();

// 启用CORS策略
app.UseCors("CarServiceFrontend");

app.UseAuthorization();

app.MapControllers();

app.Run();

2. 控制器级别的CORS验证 #

如果全局配置后仍有问题，可在FormsController上显式指定CORS策略：

[ApiController]
[Route("api/forms")]
[EnableCors("CarServiceFrontend")]
public class FormsController : ControllerBase
{
    [HttpPost]
    public IActionResult SubmitForm([FromBody] YourFormModel model)
    {
        // 业务逻辑处理
        return Ok(new { Success = true, Message = "表单提交成功" });
    }
}

3. 前端Fetch请求调整 #

若后端配置了AllowCredentials，前端请求需添加credentials: 'include'参数：

const form = document.getElementById('carServiceForm');
const formData = new FormData(form);

fetch('http://localhost:5000/api/forms', {
    method: 'POST',
    body: formData,
    credentials: 'include' // 仅后端允许Credentials时使用
})
.then(res => res.json())
.then(data => console.log(data))
.catch(err => console.error('请求失败:', err));

4. 常见坑点排查 #

• 禁止同时使用AllowAnyOrigin和AllowCredentials，浏览器会直接拦截这类配置，生产环境务必指定具体允许的域名。
• 确认CORS中间件顺序正确，放在UseRouting之后、UseAuthorization之前，否则策略不会生效。
• 若使用IIS反向代理，需确保IIS未覆盖Access-Control-Allow-Origin等CORS响应头。

内容的提问来源于stack exchange，提问作者zack