.NET Core 6 CORS报错Access-Control-Allow-Credentials头为空问题咨询

核心问题定位 #

从报错信息和贴出的代码看，存在两个直接触发CORS拦截的问题：

• 跨域允许源配置不匹配：代码中配置的允许源是3200端口的本地地址，但实际前端运行在https://localhost:4200，源不在白名单内会直接导致CORS校验失败。
• 凭证响应头缺失：报错明确提示预检请求的响应中Access-Control-Allow-Credentials头为空，但请求的credentials模式为include，当前CORS配置未显式开启允许携带凭证，.NET 6对该规则的校验比.NET Core 3.1更严格，不会默认补全该响应头。

注：贴出的Angular请求代码中未显式设置withCredentials: true，通常是全局HTTP拦截器统一给所有请求加了该配置，才会触发这个校验要求。

修复步骤 #

1. 修正后端CORS服务配置 #

修改Program.cs中的CORS注册逻辑，补全正确的允许源，显式开启凭证允许：

var builder = WebApplication.CreateBuilder(args);

// 补全实际前端运行的4200端口地址，注意协议和端口必须完全匹配
string[] arrOrigins = { "https://localhost:4200", "http://localhost:4200", "https://localhost:3200", "http://localhost:3200" };

builder.Services.AddCors(options =>
{
    options.AddDefaultPolicy(corsBuilder =>
        corsBuilder.WithOrigins(arrOrigins)
                   .AllowAnyMethod()
                   .AllowAnyHeader()
                   .AllowCredentials() // 新增该行，显式允许跨域请求携带凭证
    );
});

// 其余服务注册代码保持不变
builder.Services.AddControllers();
builder.Services.AddEndpointsApiExplorer();
builder.Services.AddSwaggerGen();
builder.Services.ConfigureDatabase(builder.Configuration);
builder.Services.AddScopedServices();
var app = builder.Build();

if (app.Environment.IsDevelopment())
{
    app.UseSwaggerAndSwaggerUI();
}

2. 确认中间件顺序正确 #

.NET 6对中间件执行顺序敏感，CORS中间件必须放在UseRouting之后、UseAuthorization和接口映射之前，你当前的顺序是正确的，保持如下排列即可，不要随意调换位置：

app.UseHttpsRedirection();
app.UseRouting();
app.UseCors();
app.UseAuthorization();
app.MapControllers();

app.Run();

注意：禁止同时使用AllowAnyOrigin()和AllowCredentials()，该组合在.NET Core中会直接抛出运行时异常，存在跨域安全风险。

3. 前端配置核对 #

• 如果业务确实需要跨域携带Cookie、Authorization认证头，保持现有withCredentials配置即可，后端配置修改完成后即可正常通行。
• 如果不需要携带凭证，移除Angular中全局或请求级的withCredentials: true配置，就不会强制要求后端返回Access-Control-Allow-Credentials响应头。

4. 本地调试注意事项 #

• 修改配置后重启后端服务，同时清空浏览器缓存（尤其是预检OPTIONS请求的缓存），避免旧的错误响应缓存导致修改不生效。
• 核对前端实际运行的端口、HTTP/HTTPS协议，必须和CORS白名单中配置的地址完全一致，协议、端口任意一项不匹配都会被CORS策略拦截。

内容的提问来源于stack exchange，提问作者Mohammed Osman