Angular请求CRM API遇CORS拦截，求API或客户端配置解决方案

嘿，我来帮你理清这个CORS问题～

首先得纠正一个关键误区：你在前端请求头里添加Access-Control-Allow-Origin: *是完全没用的。这个标头是服务器返回给浏览器的响应头，用来告诉浏览器“这个来源的请求我允许”，而不是客户端发出去的请求头。浏览器的CORS检查逻辑是：收到服务器响应后，检查有没有这个符合要求的响应头，没有就会拦截请求。

接下来分情况给你解决方案：

1. 修改CRM API配置解决（推荐测试阶段使用） #

当然可以通过配置CRM API来允许你的测试环境访问！这是最直接的解决方案：

• 如果你用的是Dynamics 365（从api/data/v8.0的路径来看大概率是），可以在Power Platform管理中心找到对应的环境，进入CORS设置页面，添加你的测试域名http://localhost:49910作为允许的来源
• 要是自定义CRM后端，需要在服务器端配置CORS：比如IIS启用CORS模块并添加允许的来源，或者ASP.NET项目中用CORS中间件指定允许的域名、请求方法和头

配置完成后，CRM API会在响应中返回Access-Control-Allow-Origin: http://localhost:49910，浏览器就不会再拦截你的请求了。注意：测试阶段可以临时用*通配，但生产环境一定要指定具体域名，避免安全风险。

2. 客户端临时调整方案（适合无法修改CRM配置的场景） #

如果暂时没法改动CRM的配置，你可以用Angular的代理转发来绕过CORS限制：

1. 在项目根目录创建proxy.conf.json文件，内容如下：

{
  "/crm-api": {
    "target": "http://acc-crm.domain.com:1234",
    "secure": false,
    "changeOrigin": true,
    "pathRewrite": {
      "^/crm-api": ""
    }
  }
}

2. 修改angular.json里的serve配置，指定代理文件：

"serve": {
  "builder": "@angular-devkit/build-angular:dev-server",
  "options": {
    "browserTarget": "你的项目名称:build",
    "proxyConfig": "proxy.conf.json"
  }
}

3. 最后调整服务中的请求URL：

getContacts():Observable<Contact[]> {
  return this.http.get<Contact[]>("/crm-api/api/data/v8.0/contacts", this.httpOptions);
}

这样Angular开发服务器会帮你转发请求，浏览器会认为你是向同一个域发起请求，自然不会触发CORS检查。

3. 关于最终迁移到后端C#的计划 #

这个方案才是生产环境的最佳实践！因为浏览器的CORS限制只针对前端发起的跨域请求，后端服务之间的调用不受这个约束。等你把CRM API的调用逻辑放到C#后端，前端只调用自己的后端接口，就能彻底解决CORS问题，同时还能把敏感的认证信息（比如你代码里的用户名密码）藏在后端，更安全。

内容的提问来源于stack exchange，提问作者BigThinker