ASP.NET Core SignalR跨域(CORS)问题：预检响应中不允许X-Requested-With请求头

遇到这种时灵时不灵的跨域问题确实头疼，我之前也碰到过类似的场景，结合你的配置和报错信息，咱们一步步来排查解决：

1. 显式允许X-Requested-With请求头 #

虽然你配置了AllowAnyHeader()，但当它和AllowCredentials()一起使用时，浏览器的预检请求可能不会自动识别所有允许的头（尤其是ABP的SignalR客户端会默认添加这个头）。建议在CORS策略里显式指定该头，确保预检响应能正确返回允许的头列表：

services.AddCors(options =>
    options.AddPolicy(_defaultCorsPolicyName, builder =>
        builder.WithOrigins(
            _appConfiguration["App:CorsOrigins"]
                .Split(",", StringSplitOptions.RemoveEmptyEntries)
                .Select(o => o.RemovePostFix("/"))
                .ToArray()
        )
        // 显式添加X-Requested-With头，覆盖AllowAnyHeader的潜在兼容问题
        .WithHeaders("X-Requested-With", "Content-Type", "Authorization")
        .AllowAnyMethod()
        .AllowCredentials()
        .SetIsOriginAllowed(s => true)
    )
);

2. 严格保证中间件顺序的正确性 #

ASP.NET Core中间件的执行顺序直接决定跨域逻辑是否生效，你当前的顺序有潜在风险，调整后必须满足：UseCors要放在所有处理请求的中间件之前（比如UseAuthentication、UseSignalR），正确顺序示例：

// 先初始化ABP框架
app.UseAbp(options => { options.UseAbpRequestLocalization = false; });

// 跨域中间件必须排在最前面（ABP之后），优先处理预检请求
app.UseCors(_defaultCorsPolicyName);

// 静态文件、认证、本地化等中间件放在CORS之后
app.UseStaticFiles();
app.UseAuthentication();
app.UseAbpRequestLocalization();

// 最后配置SignalR端点，并给每个Hub显式绑定CORS策略
app.UseSignalR(endpoints =>
{
    endpoints.MapHub<AbpCommonHub>("/signalr", options =>
    {
        options.Transports = HttpTransportType.LongPolling | HttpTransportType.WebSockets;
    }).RequireCors(_defaultCorsPolicyName);

    endpoints.MapHub<TimekeepingHub>("/signalr-timekeepingHub", options =>
    {
        options.Transports = HttpTransportType.LongPolling | HttpTransportType.WebSockets;
    }).RequireCors(_defaultCorsPolicyName);
});

给每个SignalR端点单独绑定CORS策略是双重保障，避免全局策略被其他框架逻辑覆盖。

3. 排查ABP框架的潜在干扰 #

因为你使用了ABP框架，它自带的请求拦截逻辑可能会修改CORS响应头：

• 检查你的ABP模块类（比如*WebModule）里有没有重复配置CORS策略，会不会覆盖Startup里的设置；
• Angular端的abp.signalr-client.js会自动给请求添加X-Requested-With: XMLHttpRequest头，这正是你报错的核心原因——后端预检响应未允许该头，所以第一步的显式配置是关键。

4. 解决“时灵时不灵”的缓存问题 #

这种跨域不一致性大概率和浏览器缓存有关：

• 让所有测试用户用无痕/隐私窗口测试，避免缓存的预检响应干扰；
• 打开浏览器开发者工具（F12）→ Network标签，筛选“OPTIONS”请求，查看预检响应的Access-Control-Allow-Headers是否包含X-Requested-With，如果没有说明后端配置还未生效；
• 清除浏览器所有缓存和Cookie后重新测试。

5. 验证请求URL的合法性 #

你的请求URL带有长加密Token，虽编码正常，但可检查Angular端的URL拼接是否会产生重复斜杠（比如abp.appPath为/时，会拼接成//signalr-timekeepingHub），可能导致预检URL和实际请求URL不匹配。可以修改为：

// 确保URL末尾无重复斜杠
const hubUrl = `${abp.appPath.replace(/\/$/, '')}/signalr-timekeepingHub`;
abp.signalr.startConnection(hubUrl, function(connection) {
    // 你的回调逻辑
})

优先按步骤1和2调整，这两个是解决这类问题的核心，大部分情况下调整后即可解决。若仍未生效，再检查ABP模块配置和URL拼接问题。

内容来源于stack exchange