ASP.NET Core WebAPI配置CORS后仍跨域拦截，求问题排查

你遇到的核心问题是配置的CORS策略未生效，导致响应头缺失Access-Control-Allow-Origin。以下是几个最可能的原因及解决办法：

1. CORS中间件顺序错误 #

ASP.NET Core中间件执行顺序严格，UseCors必须放在**UseRouting之后，UseAuthorization和UseEndpoints之前**。顺序不对的话，CORS头根本不会被添加到响应中。

正确的中间件顺序示例：

var builder = WebApplication.CreateBuilder(args);
var policyName = "ElmaCorsPolicy"; // 明确定义策略名称

// 注册CORS策略
builder.Services.AddCors(options =>
{
    options.AddPolicy(policyName, builder =>
    {
        builder.WithOrigins("https://elma365.com")
               .WithMethods("GET", "OPTIONS") // 显式允许预检的OPTIONS请求
               .AllowAnyHeader();
    });
});

builder.Services.AddControllers();

var app = builder.Build();

// 遵循正确的中间件执行顺序
app.UseRouting();
app.UseCors(policyName); // 关键：放在UseRouting之后，UseAuthorization之前
app.UseAuthorization();
app.UseEndpoints(endpoints => endpoints.MapControllers());

app.Run();

2. 策略名称policyName未正确定义 #

你的代码中使用了policyName变量，但如果该变量未赋值（比如没写var policyName = "xxx";）或赋值错误，CORS策略将无法被应用。需确保变量有明确的字符串值。

3. Elma 365的实际请求源并非https://elma365.com #

多数低代码平台的实际请求域名是租户级（例如https://你的租户ID.elma365.com），而非主域名。你需要：

• 打开浏览器开发者工具的Network面板
• 找到Elma发起的API请求，查看请求头中的Origin字段
• 将真实的Origin地址添加到WithOrigins中，示例：

.WithOrigins("https://elma365.com", "https://your-tenant.elma365.com")

4. 预检OPTIONS请求被拦截 #

即使是GET请求，若携带自定义头，浏览器会先发送OPTIONS预检请求。如果WebAPI中存在其他中间件（如认证、路由限制）在UseCors之前拦截了OPTIONS请求，预检会失败，进而触发CORS报错。

解决：确保UseCors在所有可能拦截请求的中间件之前，且策略中显式允许OPTIONS方法（如上述示例中的.WithMethods("GET", "OPTIONS")）。

排查小技巧 #

在浏览器Network面板查看API请求的响应头：

• 若没有Access-Control-Allow-Origin，说明CORS策略未生效，优先检查中间件顺序和策略名称
• 若存在该头但值与请求的Origin不匹配，说明WithOrigins中的域名填写错误

内容的提问来源于stack exchange，提问作者Максим Мартыненко