.NET Core 3.1带自定义路由的API控制器CORS配置失效求助

我之前也碰到过完全一样的问题，在使用[Route]属性自定义Action路由时，全局配置的CORS策略就是无法生效，折腾了好一会儿才找到可行的解决方案。

问题根源 #

在.NET Core 3.x版本中，当你通过endpoints.MapControllers().RequireCors("策略名")这种全局端点绑定的方式配置CORS时，这个策略有时无法正确关联到那些通过[Route]属性显式定义的自定义路由上，导致预请求（OPTIONS）没有被正确处理，最终触发浏览器的CORS拦截。

解决方案 #

这里有两种经过验证的解决方法，你可以任选一种尝试：

方案一：将CORS策略直接绑定到中间件 #

修改Configure方法中的CORS配置，把策略直接指定给UseCors中间件，而不是在端点上添加RequireCors约束：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    app.UseRouting();
    // 直接在这里指定要启用的CORS策略
    app.UseCors("AllowAnyOrigin");
    if (env.IsDevelopment())
    {
        app.UseDeveloperExceptionPage();
    }
    app.UseHttpsRedirection();
    app.UseAuthentication();
    app.UseAuthorization();
    app.UseEndpoints(endpoints => {
        // 移除原来的RequireCors调用
        endpoints.MapControllers();
    });
}

方案二：在自定义路由的Action上显式启用CORS #

如果不想调整全局配置，也可以直接在有问题的Action上添加[EnableCors]属性，强制应用指定的CORS策略：

[HttpPost]
[Route("payment")]
[EnableCors("AllowAnyOrigin")] // 显式添加这个属性
public async Task<ActionResult<CustomerPaymentResponse>> Pay([FromBody] CustomerPaymentRequest value) { ... }

额外检查点 #

如果尝试以上方法后还是有问题，建议：

• 用浏览器开发者工具查看OPTIONS预请求的完整响应，确认是否有Access-Control-Allow-Origin头返回
• 确保中间件顺序正确：UseRouting → UseCors → UseAuthentication/UseAuthorization → UseEndpoints，这个顺序不能乱

内容的提问来源于stack exchange，提问作者Federico