如何解决Angular应用对接ASP.NET Core API的Strict Origin跨域错误

以下是针对该问题的常见排查方向和解决方法：

1. 优化CORS策略配置 #

你的代码中UseCors的中间件位置符合规范（在UseRouting之后、UseAuthorization之前），但宽松的跨域配置可能触发浏览器兼容性问题：

• 避免同时使用SetIsOriginAllowed(origin => true)和AllowCredentials，建议显式指定允许的客户端域名，示例：

  app.UseCors(x => x
      .WithOrigins("https://your-client-url.com", "http://localhost:3000") // 替换为实际客户端地址
      .AllowAnyMethod()
      .AllowAnyHeader()
      .AllowCredentials());
  

• 若仅开发环境需允许所有域名，可使用AllowAnyOrigin()，但需注意该配置与AllowCredentials冲突，需移除凭证配置（无需携带Cookie等场景）。

2. 排查发布环境协议匹配问题 #

• 确保客户端请求的协议（HTTP/HTTPS）与API发布后的协议完全一致，UseHttpsRedirection会将HTTP请求重定向到HTTPS，初始协议不匹配可能导致Origin校验异常。
• 检查appsettings.Production.json中的HTTPS配置，确认HttpsPort或Urls参数设置正确，避免协议跳转引发的跨域问题。

3. 清除浏览器缓存 #

浏览器可能缓存了旧的CORS响应头，导致新配置不生效：

• 按Ctrl+Shift+R强制刷新页面，或直接清除浏览器缓存与Cookie；
• 可在API响应中添加Cache-Control: no-cache头，禁止浏览器缓存CORS相关响应。

4. 检查反向代理/服务器配置 #

若API部署在IIS、Nginx等反向代理后，需确保代理正确转发跨域相关请求头：

• IIS：启用ARR反向代理，并在站点配置中保留Origin等请求头；
• Nginx：在配置中添加proxy_set_header Origin $http_origin;、proxy_set_header Access-Control-Request-Method $http_access_control_request_method;，保证跨域头完整转发。

5. 验证CORS响应头 #

使用curl或Postman发送OPTIONS预检请求，检查响应头是否符合预期：
示例curl命令：

curl -X OPTIONS https://your-api-domain/api/your-endpoint \
  -H "Origin: https://your-client-domain.com" \
  -H "Access-Control-Request-Method: GET"

需确认响应中包含：

• Access-Control-Allow-Origin：值为客户端域名或*（无凭证场景）；
• Access-Control-Allow-Credentials：启用凭证时为true；
• Access-Control-Allow-Methods：包含请求使用的HTTP方法。

内容的提问来源于stack exchange，提问作者Nitin Rastogi