运行时更新多服务器CORS Policy Origins仅单台生效问题求助

你的问题核心在于：当前修改CORS Origins的方式是直接操作单台服务器内存中的CorsPolicy实例，而多服务器部署时每台服务器的内存完全独立，所以更新只会在处理请求的那台服务器生效，其他服务器无法感知。

解决方案思路 #

改用分布式统一存储（如Redis、数据库）维护允许的Origins列表，让所有服务器都从这个统一存储读取最新的Origin配置；同时自定义CORS策略提供器，每次请求时动态加载最新的Origins，而非依赖启动时初始化的静态列表。

具体实现步骤 #

1. 修改Startup.cs配置

移除硬编码的WithOrigins，注册自定义CORS策略提供器：

// Configure CORS
services.AddCors(options =>
{
    options.AddPolicy("CorsPolicy", policy => policy
        .SetIsOriginAllowedToAllowWildcardSubdomains()
        .AllowAnyMethod()
        .AllowAnyHeader()
        .AllowCredentials()
    );
});

// 注册自定义分布式CORS策略提供器（注入分布式缓存服务，示例用Redis）
services.AddSingleton<ICorsPolicyProvider, DistributedCorsPolicyProvider>();
// 注册Redis分布式缓存（需先安装Microsoft.Extensions.Caching.Redis包）
services.AddStackExchangeRedisCache(options =>
{
    options.Configuration = "your-redis-connection-string";
    options.InstanceName = "CorsPolicyInstance";
});

2. 实现自定义分布式CORS策略提供器

这个类负责从统一存储读取Origins，并提供运行时更新的方法：

using Microsoft.AspNetCore.Cors.Infrastructure;
using Microsoft.Extensions.Caching.Distributed;
using System.Text.Json;

public class DistributedCorsPolicyProvider : ICorsPolicyProvider
{
    private readonly IDistributedCache _distributedCache;
    private const string _policyName = "CorsPolicy";
    private const string _cacheKey = "AllowedCorsOrigins";

    public DistributedCorsPolicyProvider(IDistributedCache distributedCache)
    {
        _distributedCache = distributedCache;
    }

    public async Task<CorsPolicy> GetPolicyAsync(HttpContext context, string policyName)
    {
        if (policyName != _policyName)
            return null;

        // 从分布式存储读取最新的Origins列表
        var originsJson = await _distributedCache.GetStringAsync(_cacheKey);
        var origins = string.IsNullOrEmpty(originsJson) 
            ? new List<string>() // 初始空列表，可替换为启动时从配置加载的默认值
            : JsonSerializer.Deserialize<List<string>>(originsJson);

        // 构建动态CORS策略
        var policy = new CorsPolicy
        {
            AllowAnyMethod = true,
            AllowAnyHeader = true,
            SupportsCredentials = true
        };
        policy.SetIsOriginAllowedToAllowWildcardSubdomains();
        policy.Origins.AddRange(origins);

        return policy;
    }

    // 运行时添加Origin的方法，直接更新分布式存储
    public async Task AddDomainToPolicy(string origin)
    {
        var originsJson = await _distributedCache.GetStringAsync(_cacheKey);
        var origins = string.IsNullOrEmpty(originsJson) 
            ? new List<string>() 
            : JsonSerializer.Deserialize<List<string>>(originsJson);

        if (!origins.Contains(origin, StringComparer.OrdinalIgnoreCase))
        {
            origins.Add(origin);
            await _distributedCache.SetStringAsync(_cacheKey, JsonSerializer.Serialize(origins));
        }
    }
}

3. 替换原有的更新逻辑

将你原来的CorsPolicyAccessor替换为注入DistributedCorsPolicyProvider，调用其AddDomainToPolicy方法即可完成全服务器同步更新：

public class CorsPolicyManager
{
    private readonly DistributedCorsPolicyProvider _corsPolicyProvider;

    public CorsPolicyManager(DistributedCorsPolicyProvider corsPolicyProvider)
    {
        _corsPolicyProvider = corsPolicyProvider;
    }

    public async Task AddDomain(string origin)
    {
        await _corsPolicyProvider.AddDomainToPolicy(origin);
    }
}

关键注意点 #

• 分布式存储选择：除了Redis，也可以用SQL Server、MongoDB等，只要保证所有服务器都能访问即可。
• 性能优化：如果Origins列表较大，可以在每台服务器加本地内存缓存（带过期时间），减少分布式存储的访问次数。
• 初始化：应用启动时可将配置文件中的初始Origin列表写入分布式存储，避免空列表导致的CORS错误。

内容的提问来源于stack exchange，提问作者Rohit Arora