ASP .NET Core中CORS配置的Host与Origin有何区别？

首先明确：你代码里的两个写法本质没有功能区别，只是参数的变量名不同——origin和host都是对同一个输入值的命名，这个输入值就是跨域请求里的Origin请求头内容。

详细说明： #

• CORS机制的核心判断依据是请求的Origin头，它包含发起跨域请求的完整源（格式为协议+域名+端口，例如https://example.com:3000）。
• SetIsOriginAllowed方法接收的委托参数，始终对应这个Origin头的字符串值。开发者可以给这个参数起任意变量名（比如origin、host、source），这只是代码可读性的选择，不影响实际逻辑。
• 你给出的两段代码最终效果完全一致：都是允许所有跨域源访问（因为委托始终返回true）。

注意：变量名的语义准确性 #

有些开发者会用host作为变量名，这其实是混淆了HTTP请求里两个不同的头：

• Origin：发起跨域请求的源地址（客户端所在的域名）
• Host：请求目标服务器的域名

在SetIsOriginAllowed的委托中，参数始终是Origin头的值，用host做变量名容易造成概念混淆，建议统一使用origin来保持语义清晰。

示例：限制特定源的正确写法 #

如果要只允许https://myfrontend.com的跨域请求，代码应该这样写：

builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowSpecificOrigin", builder =>
    {
        builder
            .AllowAnyMethod()
            .AllowAnyHeader()
            .SetIsOriginAllowed(origin => origin == "https://myfrontend.com")
            .AllowCredentials();
    });
});

内容的提问来源于stack exchange，提问作者Rezaeimh7