Angular项目导出Excel遇CORS跨域错误，如何解决？

我之前也碰到过类似的跨域+文件导出的坑，结合你的配置来看，大概率是一些容易忽略的细节没处理到位，你可以逐一排查下面这些方向：

1. 检查ASP.NET Core中间件的顺序 #

CORS中间件的位置非常关键，必须放在UseRouting之后，UseEndpoints之前，而且要早于UseAuthorization、UseMvc这类中间件。如果顺序错了，你配置的CORS策略根本不会生效。

正确的Startup配置示例：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // 其他中间件（比如UseStaticFiles、UseExceptionHandler）...
    app.UseRouting();

    // 必须放在UseRouting之后，UseEndpoints之前
    app.UseCors("MyPolicy");

    app.UseAuthorization();

    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllers();
    });
}

2. 配置CORS暴露自定义响应头 #

你的API返回了自定义头x-file-name，但默认情况下CORS不会允许前端访问非标准响应头，需要在CORS策略里显式声明要暴露的头：

修改AddCors的配置：

services.AddCors(options =>
{
    options.AddPolicy("MyPolicy",
        policy =>
        {
            policy.AllowAnyOrigin()
                  .AllowAnyMethod()
                  .AllowAnyHeader()
                  // 把自定义头和Content-Disposition都暴露给前端
                  .WithExposedHeaders("x-file-name", "Content-Disposition");
        });
});

另外，你的Content-Disposition头格式也有问题，正确写法应该是：

Response.Headers.Add("Content-Disposition", $"attachment; filename=\"{actualFile}.xlsx\"");

之前直接写文件名会导致头格式无效，可能间接引发请求处理异常，进而被浏览器判定为CORS错误。

3. 确认Angular端的请求配置 #

Angular的HttpClient请求导出接口时，必须指定responseType: 'blob'，否则浏览器会把二进制Excel数据当成JSON解析，导致请求失败，看起来像是CORS错误（实际是请求处理异常）。

Angular端的请求示例：

exportToExcel(inputModel: InputModelDTO): Observable<Blob> {
  return this.http.post(`${this.apiUrl}/ExportToExcel`, inputModel, {
    responseType: 'blob', // 必须指定这个类型
    observe: 'response' // 如果需要获取响应头的话
  }).pipe(
    map(response => {
      // 可以在这里获取自定义的x-file-name头
      const fileName = response.headers.get('x-file-name');
      return response.body;
    })
  );
}

4. 排查CORS策略冲突或凭据问题 #

如果你同时配置了全局CORS和控制器上的[EnableCors("MyPolicy")]，要确保策略名称完全一致。另外，如果你的前端请求带了凭据（比如cookie、认证token），AllowAnyOrigin()和AllowCredentials()不能同时使用（ASP.NET Core会直接报错），这种情况下你需要指定具体的源：

policy.WithOrigins("http://localhost:4200") // 替换成你的Angular项目地址
      .AllowAnyMethod()
      .AllowAnyHeader()
      .AllowCredentials()
      .WithExposedHeaders("x-file-name", "Content-Disposition");

5. 先验证API本身是否正常 #

有时候看似是CORS错误，实际是API本身抛出了异常（比如actualFile为空、excelFile为空导致的空引用），你可以先用Postman或者浏览器直接调用API，确认能正常返回Excel文件，排除API本身的问题。

内容的提问来源于stack exchange，提问作者Shanto A C