IdentityServer4配置CORS后JS跨域请求预检返回401问题

你遇到的这个问题，核心原因是浏览器发送的OPTIONS预检请求不会携带Authorization令牌，而你的API身份验证逻辑会拦截所有未携带有效令牌的请求，直接返回401，导致预检失败。下面是针对性的解决步骤：

1. 调整API中间件顺序：让CORS优先于身份验证 #

在ASP.NET Core项目中，CORS中间件必须在身份验证中间件之前执行，这样才能先处理OPTIONS请求，避免被身份验证逻辑拦截。

示例代码（Program.cs）： #

// 第一步：添加CORS服务并配置匹配策略
builder.Services.AddCors(options =>
{
    options.AddPolicy("ApiCorsPolicy", policy =>
    {
        // 严格匹配你IdentityServer客户端配置里的AllowedCorsOrigins
        policy.WithOrigins("http://192.168.0.105:8080", "http://localhost:5001")
              .AllowAnyHeader() // 允许所有请求头（包括Authorization）
              .AllowAnyMethod(); // 允许所有HTTP方法（包括OPTIONS预检）
    });
});

// 第二步：添加IdentityServer4的JWT身份验证
builder.Services.AddAuthentication("Bearer")
    .AddJwtBearer("Bearer", options =>
    {
        options.Authority = "http://localhost:5000"; // 替换为你的IdentityServer服务地址
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateAudience = false // 根据你的API需求调整，若API有特定受众则设为true
        };
    });

// 第三步：配置中间件管道，顺序不能错！
app.UseCors("ApiCorsPolicy"); // 必须放在UseAuthentication之前
app.UseAuthentication();
app.UseAuthorization();

// 后续路由配置
app.MapControllers();

2. 可选：让身份验证中间件直接跳过OPTIONS请求 #

如果上面的配置仍未解决问题，可以让JWT验证逻辑主动忽略OPTIONS请求，直接返回200状态码：

builder.Services.AddAuthentication("Bearer")
    .AddJwtBearer("Bearer", options =>
    {
        options.Events = new JwtBearerEvents
        {
            OnMessageReceived = context =>
            {
                // 检测到OPTIONS请求时，直接返回200，跳过令牌验证
                if (context.Request.Method.Equals("OPTIONS", StringComparison.OrdinalIgnoreCase))
                {
                    context.Response.StatusCode = StatusCodes.Status200OK;
                    return Task.CompletedTask;
                }
                return Task.CompletedTask;
            }
        };

        // 其他基础配置
        options.Authority = "http://localhost:5000";
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateAudience = false
        };
    });

3. 确认客户端配置的正确性 #

你的IdentityServer客户端配置已经设置了正确的AllowedCorsOrigins，只需确保这些地址和API的CORS策略完全一致（包括协议、域名、端口，不能有多余的斜杠）：

public static IEnumerable<Client> Clients => new List<Client> { 
    new Client { 
        ClientId="client", 
        AllowedGrantTypes =GrantTypes.ClientCredentials, 
        ClientSecrets={ new Secret("test".Sha256()) }, 
        AllowedCorsOrigins = { "http://192.168.0.105:8080", "http://localhost:5001" }, 
        AllowedScopes={ "api1"} 
    } 
};

完成以上配置后，重启IdentityServer和API服务，再发送AJAX请求，预检请求就能正常通过，不会再返回401了。

内容的提问来源于stack exchange，提问作者chenxingyu