公网Angular应用调用内网.NET Core Web API遇CORS错误求助

核心问题 #

你遇到的不是普通CORS问题，而是浏览器的私有网络访问安全限制：公网的HTTP前端（非安全上下文）直接访问私有IP的API资源，被浏览器的安全策略拦截，这个限制是浏览器新增的安全机制，普通CORS配置无法绕过。

解决方案 #

1. 升级前端到HTTPS（推荐生产环境使用） #

浏览器仅允许HTTPS安全上下文的页面访问私有网络资源，所以给公网部署的Angular前端配置SSL证书（比如免费的Let's Encrypt证书），切换为HTTPS访问，即可从根源解决这个限制。

2. 调整API的公网访问方式 #

如果暂时无法升级前端HTTPS，不要让前端直接调用私有IP的API，可通过以下方式处理：

• 将后端API部署到公网，使用公网域名提供服务。
• 用反向代理（IIS、Nginx等）将内网API映射到公网域名下，比如前端域名是http://www.mypublicfrontdomain.com，把API映射到http://api.mypublicfrontdomain.com，前端调用该公网API域名，避免直接访问私有IP。

3. 修正.NET Core与IIS的CORS配置（避免冲突） #

不要同时混用.NET Core中间件和IIS web.config的CORS配置，会导致头信息冲突，推荐使用.NET Core的CORS中间件：

var builder = WebApplication.CreateBuilder(args);

// 配置CORS策略
builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowPublicFrontend", policy =>
    {
        policy.WithOrigins("http://www.mypublicfrontdomain.com")
              .AllowAnyHeader()
              .AllowAnyMethod()
              .WithExposedHeaders("Access-Control-Allow-Private-Network");
    });
});

var app = builder.Build();

// 启用CORS（必须放在UseRouting之后，UseAuthorization之前）
app.UseCors("AllowPublicFrontend");

// 其他中间件配置...

app.Run();

同时删除web.config中<customHeaders>里的所有CORS相关配置，避免重复添加头信息。

4. 临时调试绕过（仅本地测试，禁止生产环境使用） #

如果只是本地调试，可临时关闭浏览器的私有网络限制：

• Chrome/Edge：在地址栏输入chrome://flags/#block-insecure-private-network-requests（Edge替换为edge://flags），将选项设置为Disabled，重启浏览器即可。

内容的提问来源于stack exchange，提问作者Hachdotnet