.NET 6.0 Web API CORS跨域报错求助：配置后仍无法正常请求

以下是针对你的问题的具体排查步骤，按优先级逐一验证：

1. 强制确认CORS中间件的执行顺序 #

.NET中间件的顺序直接决定CORS规则是否生效，必须确保UseCors()放在UseRouting()之后、UseAuthorization()之前，示例代码如下：

var builder = WebApplication.CreateBuilder(args);

// 注册CORS服务
builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowAll", policy =>
    {
        policy.AllowAnyOrigin()
              .AllowAnyMethod()
              .AllowAnyHeader();
    });
});

builder.Services.AddControllers();

var app = builder.Build();

// 中间件执行顺序严格遵循以下排列
app.UseHttpsRedirection();
app.UseRouting();
// 关键：CORS中间件必须在路由之后、授权之前
app.UseCors("AllowAll");
app.UseAuthorization();
app.UseEndpoints(endpoints =>
{
    endpoints.MapControllers();
});

app.Run();

如果是从appsettings.json读取配置，要验证配置是否被正确加载，比如配置文件内容：

"CorsSettings": {
    "AllowedOrigins": ["http://localhost:3000"],
    "AllowedMethods": ["*"],
    "AllowedHeaders": ["*"]
}

对应加载代码要确保分割字符串逻辑正确：

var corsConfig = builder.Configuration.GetSection("CorsSettings");
options.AddPolicy("AllowSpecific", policy =>
{
    policy.WithOrigins(corsConfig["AllowedOrigins"].Split(","))
          .WithMethods(corsConfig["AllowedMethods"].Split(","))
          .WithHeaders(corsConfig["AllowedHeaders"].Split(","));
});

2. 检查HTTPS/HTTP混合请求问题 #

你的API运行在localhost:44379（默认HTTPS端口），而前端是localhost:3000（默认HTTP），部分浏览器会对跨协议的CORS请求做严格限制。可以临时修改API的launchSettings.json禁用HTTPS测试：

"profiles": {
    "YourApiProject": {
        "commandName": "Project",
        "dotnetRunMessages": true,
        "launchBrowser": false,
        "applicationUrl": "http://localhost:44379",
        "environmentVariables": {
            "ASPNETCORE_ENVIRONMENT": "Development"
        }
    }
}

3. 验证预检请求（OPTIONS）的响应 #

打开浏览器开发者工具（F12）→ Network标签，查看POST请求前是否发送了OPTIONS预检请求：

• 如果OPTIONS请求返回404/500：说明API路由或中间件拦截了预检请求，检查是否有自定义中间件提前终止了请求
• 如果OPTIONS请求返回200：查看响应头是否包含Access-Control-Allow-Origin、Access-Control-Allow-Methods、Access-Control-Allow-Headers，且值与你的配置匹配

4. 排查全局策略与控制器属性冲突 #

检查API的控制器或Action是否标注了[DisableCors]属性（会直接覆盖全局策略），或者[EnableCors("PolicyName")]属性（要确保策略名称与全局配置完全一致）。

5. 测试限定源的CORS策略 #

暂时替换AllowAnyOrigin()为明确允许http://localhost:3000，避免浏览器对通配符与带凭证请求的兼容性问题：

options.AddPolicy("AllowLocal3000", policy =>
{
    policy.WithOrigins("http://localhost:3000")
          .AllowAnyMethod()
          .AllowAnyHeader()
          .AllowCredentials(); // 若前端请求带Cookie/认证信息需添加此配置
});

内容的提问来源于stack exchange，提问作者user13723178