.NET 6中AllowAllOrigin不生效，CORS跨域配置问题求助

你遇到的这个报错不是.NET Core的CORS配置问题，而是浏览器的「私有网络访问（Private Network Access）」安全限制导致的：

Access to script at 'https://localhost:44306/dist/js/build.js' from origin 'http://customdomain.com' has been blocked by CORS policy: The request client is not a secure context and the resource is in more-private address space local.

简单来说：你的前端页面运行在非安全上下文（http://customdomain.com是HTTP协议，属于非安全范畴），但请求的资源处于浏览器判定的私有地址空间（localhost属于local私有空间），浏览器为防范跨域请求的安全风险，直接拦截了该请求。

解决方案 #

1. 长期合规方案：将前端切换为HTTPS（安全上下文）

只要前端运行在HTTPS协议下（比如配置https://customdomain.com），浏览器就会允许其访问私有网络资源，这是符合安全规范的长期解决办法。

2. 本地开发临时绕过限制

如果仅用于本地测试，可以临时关闭浏览器的私有网络访问拦截：

• Chrome/Edge：在地址栏输入 chrome://flags/#block-insecure-private-network-requests，将该选项设置为「Disabled」后重启浏览器。
• Firefox：在地址栏输入 about:config，搜索并设置 network.security.insecure_connection_to_localhost_allow 为 true。

3. 确认.NET Core的CORS配置正确性（补充检查）

虽然当前报错并非CORS配置导致，但可以确保你的配置没有额外问题：

• 如果使用命名策略，需保证AddPolicy的名称与UseCors的参数完全一致：

  // ConfigureServices方法中
  services.AddCors(options =>
  {
      options.AddPolicy("CorsAllPolicy", policy =>
      {
          policy.AllowAnyOrigin()
                .AllowAnyMethod()
                .AllowAnyHeader();
      });
  });
  
  // Configure方法中（注意位置：在UseRouting之后，UseAuthorization之前）
  app.UseRouting();
  app.UseCors("CorsAllPolicy"); // 名称需与AddPolicy定义的一致
  app.UseAuthorization();
  

内容的提问来源于stack exchange，提问作者nickornotto