Azure静态Web应用的Angular调用APIM托管.NET Core API遇CORS问题

• APIM未配置CORS策略
  由于API通过APIM对外暴露，浏览器的预检请求首先到达APIM而非后端API，必须在APIM中配置CORS规则：

  1. 进入Azure门户的APIM实例
  2. 左侧菜单选择API，找到目标Web API
  3. 切换到策略标签，添加入站策略中的允许跨域资源共享(CORS)
  4. 填写静态Web应用的完整域名（如https://xxx.azurestaticapps.net），同步配置允许的请求方法、头部，与后端CORS规则保持一致

• 后端CORS配置冲突
  代码中同时使用WithOrigins和SetIsOriginAllowed((host)=>true)会导致规则冲突：

  • 若通过配置文件控制允许域名，移除SetIsOriginAllowed代码；
  • 若测试环境需允许所有域名，直接替换为AllowAnyOrigin()（生产环境不建议）

• 静态Web应用路由配置检查
  若静态Web应用使用routes.json映射API路径到APIM，需确认路由规则正确，避免API请求被当作静态资源拦截：

  • 验证routes.json中API路径是否正确转发至APIM地址

• 清除浏览器缓存
  浏览器可能缓存旧的预检请求结果，导致新配置不生效：

  • 打开开发者工具，在网络标签勾选禁用缓存后重试，或直接清空浏览器缓存

• 检查APIM请求头修改规则
  确认APIM的入站策略未篡改Origin请求头，若该头被修改，后端CORS校验会失败：

  • 排查APIM策略中是否有移除或修改Origin头的逻辑

内容的提问来源于stack exchange，提问作者nmess88