.NET 7.0 与 React 跨域（CORS）问题排查求助

1. 精准配置同主域子域的CORS策略 #

别用AllowAnyOrigin()，生产环境既不安全，还可能因为浏览器同源策略的细节导致配置失效。直接指定允许的前端子域，同时按需开启凭证支持：

builder.Services.AddCors(options =>
{
    options.AddPolicy("SubdomainCors", policy =>
    {
        policy.WithOrigins("https://mysubdomain-frontend.mydomain.com")
              .AllowAnyHeader()
              .AllowAnyMethod()
              .AllowCredentials(); // 前端带Cookie/认证凭证时必须加
    });
});

// 严格遵守中间件顺序：UseCors要放在UseRouting之后，UseAuthorization之前
app.UseRouting();
app.UseCors("SubdomainCors");
app.UseAuthorization();
// 其他中间件（比如UseEndpoints）放后面

2. 排查Docker反向代理的CORS头覆盖问题 #

生产Docker环境的CORS错误，大概率是反向代理（Nginx、Traefik这类）覆盖了后端返回的CORS响应头：

• 检查代理配置，别让它硬编码Access-Control-Allow-Methods，比如Nginx里如果有add_header Access-Control-Allow-Methods "GET, OPTIONS, HEAD, PUT";这种配置，要么删掉，要么把POST加进去。
• 确保代理不会修改后端返回的CORS相关头，让后端的CORS配置生效。

3. 确认中间件顺序和预检请求处理 #

.NET的CORS中间件必须在正确的位置才能处理OPTIONS预检请求：

• 保证UseCors在UseRouting之后、UseAuthorization之前，顺序错了会导致CORS头无法被添加到预检响应里。
• 检查有没有自定义中间件提前拦截了OPTIONS请求，比如某些安全插件可能直接返回OPTIONS响应，跳过了CORS处理逻辑。

4. 前端Axios请求配置检查 #

确保Axios请求没有触发额外的预检限制：

const api = axios.create({
  baseURL: 'https://mysubdomain-backend.mydomain.com',
  withCredentials: true, // 和后端的AllowCredentials对应
  headers: {
    'Content-Type': 'application/json',
  },
});

如果POST请求用了非标准Content-Type（比如multipart/form-data），要确保后端允许对应的请求头。

5. 强制刷新缓存验证响应头 #

浏览器可能缓存了旧的预检响应，导致新配置不生效：

• 打开浏览器开发者工具（F12），切换到Network标签，勾选「Disable cache」，重新发起请求。
• 查看OPTIONS预检请求的响应头，确认access-control-allow-methods包含POST，access-control-allow-origin是正确的前端域名。

内容的提问来源于stack exchange，提问作者loob