如何在ASP.NET Core中为404错误返回CORS响应头？

核心原因 #

ASP.NET Core中，未匹配路由的404错误默认会在CORS中间件之前被服务器处理；即使是控制器内返回的NotFound()，如果错误处理逻辑拦截了响应，也可能跳过CORS头的添加，导致客户端无法读取响应内容。

解决步骤 #

1. 调整中间件顺序，确保CORS覆盖所有请求

将UseCors放在错误处理中间件之后、路由中间件之前，确保所有请求（包括错误请求）都经过CORS处理：

var builder = WebApplication.CreateBuilder(args);

// 配置CORS策略
builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowAll", policy =>
    {
        policy.AllowAnyOrigin() // 生产环境建议替换为具体客户端域名
              .AllowAnyMethod()
              .AllowAnyHeader();
        // 若需要携带凭证，改用WithOrigins指定域名并添加AllowCredentials()
        // policy.WithOrigins("https://your-client-app.com")
        //       .AllowAnyMethod()
        //       .AllowAnyHeader()
        //       .AllowCredentials();
    });
});

builder.Services.AddControllers();

var app = builder.Build();

// 错误处理中间件（如果有）要放在UseCors之前
if (app.Environment.IsDevelopment())
{
    app.UseDeveloperExceptionPage();
}
else
{
    app.UseExceptionHandler("/Error");
    app.UseHsts();
}

// 关键：UseCors要放在UseRouting之前，确保所有请求都经过CORS处理
app.UseCors("AllowAll");

app.UseRouting();

app.UseAuthorization();

app.MapControllers();

app.Run();

2. 为路由未匹配的404添加CORS头

如果是路由不存在导致的404，服务器会直接返回默认响应，此时需要添加自定义中间件来补全CORS头：

// 放在UseCors之后，UseRouting之前
app.Use(async (context, next) =>
{
    await next();

    // 仅当响应无CORS头且状态码为错误时添加
    if (!context.Response.Headers.ContainsKey("Access-Control-Allow-Origin") && context.Response.StatusCode >= 400)
    {
        var corsPolicyProvider = app.Services.GetRequiredService<ICorsPolicyProvider>();
        var corsService = app.Services.GetRequiredService<ICorsService>();
        
        var policy = await corsPolicyProvider.GetPolicyAsync(context, "AllowAll");
        var result = corsService.EvaluatePolicy(context, policy);
        corsService.ApplyResult(result, context.Response);
    }
});

3. 确保控制器端点应用CORS策略

如果是控制器内返回NotFound("Some message here")，可以在控制器或方法上添加[EnableCors("AllowAll")]属性，强制端点应用CORS策略：

[ApiController]
[Route("[controller]")]
[EnableCors("AllowAll")]
public class YourController : ControllerBase
{
    [HttpGet("{id}")]
    public IActionResult Get(int id)
    {
        if (id <= 0)
        {
            return NotFound("Invalid ID provided");
        }
        return Ok(new { Id = id });
    }
}

验证 #

测试时可以用浏览器开发者工具查看404响应的头信息，确认Access-Control-Allow-Origin等CORS头已存在，此时Axios就能正常获取错误消息了。

内容的提问来源于stack exchange，提问作者Sharif Rezvani