.NET Core 3.0中如何为通配符源配置AllowCredentials？

CORS协议明确禁止同时使用通配符*作为允许源和启用凭据（如Cookie、HTTP认证信息），这是浏览器层面的安全限制，因此你之前的代码会触发报错。以下是可行的解决方案：

方案1：明确指定允许的源列表 #

这是最合规、最安全的方式，直接列出所有需要访问API的前端域名：

options.AddPolicy("AllowSpecificOrigins", 
                  builder => builder.WithOrigins("https://your-frontend-domain.com", "https://another-allowed-domain.com")
                                    .AllowAnyHeader()
                                    .AllowAnyMethod()
                                    .AllowCredentials())

方案2：从配置文件动态加载允许的源 #

如果需要灵活配置源，可以将允许的域名放在appsettings.json中：

{
  "AllowedCorsOrigins": [
    "https://frontend-1.com",
    "https://frontend-2.com"
  ]
}

然后在Startup.cs中读取并配置：

// 在ConfigureServices方法中
var allowedOrigins = Configuration.GetSection("AllowedCorsOrigins").Get<string[]>();
options.AddPolicy("AllowDynamicOrigins", 
                  builder => builder.WithOrigins(allowedOrigins)
                                    .AllowAnyHeader()
                                    .AllowAnyMethod()
                                    .AllowCredentials())

方案3：动态设置请求源（谨慎使用） #

如果确实需要允许任意源同时支持凭据，可以通过自定义中间件动态将Access-Control-Allow-Origin设置为请求的Origin头。但这种方式相当于信任所有源，存在CSRF风险，仅在测试或完全可控的环境中使用：

// 在Configure方法中，放在UseCors之前添加此中间件
app.Use(async (context, next) =>
{
    var origin = context.Request.Headers["Origin"].FirstOrDefault();
    if (!string.IsNullOrEmpty(origin))
    {
        // 设置允许的源为当前请求的Origin
        context.Response.Headers.Add("Access-Control-Allow-Origin", origin);
        context.Response.Headers.Add("Access-Control-Allow-Credentials", "true");
        // 根据需求调整允许的头和方法
        context.Response.Headers.Add("Access-Control-Allow-Headers", "Content-Type, Authorization, X-Requested-With");
        context.Response.Headers.Add("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS");
    }

    // 处理OPTIONS预检请求
    if (context.Request.Method == "OPTIONS")
    {
        context.Response.StatusCode = StatusCodes.Status200OK;
        return;
    }

    await next();
});

注意：使用此方案时，无需再通过AddPolicy配置CORS策略，避免头信息冲突。

核心说明 #

CORS安全规范本身不支持通配符源与凭据共存，没有绕过这一限制的合规方式。优先选择方案1或2来保证系统安全性，方案3仅作为特殊场景下的备选。

内容的提问来源于stack exchange，提问作者user16953799