.NET 6.0部署后CORS跨域异常求助：本地正常其他设备报错

问题背景 #

在.NET 6.0项目中配置CORS策略后，本地运行无跨域错误，但部署到主机后，主域https://www.batuhanfindik.com访问子域APIhttps://mp3-api.batuhanfindik.com/api/User/Login时被CORS策略拦截，提示请求资源缺少Access-Control-Allow-Origin头，仅API子域出现该问题，临时修复后本地正常，但其他设备访问仍触发错误。

排查与解决步骤 #

1. 检查中间件调用顺序 #

.NET 6中UseCors的执行顺序直接影响策略生效，必须放在UseRouting之后、UseAuthorization之前，否则CORS规则不会被正确应用。正确的中间件顺序示例：

app.UseRouting();
// 必须在UseRouting之后，UseAuthorization之前调用
app.UseCors(); 
app.UseAuthorization();

app.UseEndpoints(endpoints =>
{
    endpoints.MapControllers();
});

2. 验证实际请求的Origin头 #

部署环境中，代理服务器或主机配置可能修改Origin请求头，导致与你配置的域名不匹配。可在Login接口中添加日志，打印实际接收的Origin：

[HttpPost("Login")]
public IActionResult Login([FromBody] LoginModel model)
{
    var origin = Request.Headers["Origin"].ToString();
    // 写入日志用于排查
    Console.WriteLine($"Received Origin: {origin}");
    // 业务逻辑代码...
}

对比日志中的Origin与CORS配置的域名，确认是否存在协议（http/https）、拼写或子域匹配问题。

3. 简化并优化CORS策略配置 #

你当前同时配置了默认策略和在UseCors中重复定义规则，可能导致冲突。建议统一配置逻辑，同时通过SetIsOriginAllowed支持所有子域，避免漏写：

builder.Services.AddCors(options =>
{
    options.AddDefaultPolicy(policy =>
    {
        policy.SetIsOriginAllowed(origin => 
                origin.EndsWith(".batuhanfindik.com") || 
                origin == "https://localhost:3000" ||
                origin == "https://172.34.1.78:3000" ||
                origin == "https://localhost:3001"
            )
            .AllowAnyHeader()
            .AllowAnyMethod()
            .AllowCredentials();
    });
});

// 直接使用默认策略
app.UseCors();

4. 检查主机代理/服务器配置 #

若API部署在Nginx、IIS或第三方主机面板后，需确认：

• 代理服务器是否传递Origin请求头，比如Nginx需添加配置：proxy_set_header Origin $http_origin;
• 主机面板是否自带CORS配置，此类配置可能覆盖.NET的CORS策略，需关闭或同步规则
• 是否存在响应缓存，导致旧的CORS响应被缓存，需清空服务器缓存

5. 验证HTTPS协议与证书一致性 #

确保前端与API均使用有效的HTTPS证书，浏览器会拒绝混合协议（http+https）下的跨域请求，同时确认配置的域名协议与实际请求协议完全匹配。

内容的提问来源于stack exchange，提问作者Batu han